Auditámos mais de 400 configurações de firewall em organizações sul-africanas. A firewall empresarial média tem 847 regras. Destas, aproximadamente 23% são redundantes, 11% estão sombreadas e pelo menos 4% contêm declarações excessivamente permissivas "any-any" que efetivamente anulam o propósito da firewall.
Por Neil Beulecke, Diretor-Geral — Layer7 Networking
O Problema da Proliferação de Regras
As regras de firewall acumulam-se como rocha sedimentar. Cada projeto, cada implementação de fornecedor, cada alteração de emergência adiciona regras. Quase ninguém as remove. Após cinco anos, uma firewall empresarial típica carrega centenas de regras que ninguém compreende totalmente, e nenhuma pessoa consegue explicar a justificação empresarial para cada uma.
Esta não é uma preocupação teórica. Nas nossas avaliações de Garantia e Conformidade de Firewall (FAC), encontramos rotineiramente:
- Regras sombreadas — regras que nunca correspondem a tráfego porque uma regra mais ampla acima delas captura tudo primeiro. Estas indicam que o autor da regra não compreendeu a política existente. São ruído, mas também são evidência de má gestão de alterações.
- Regras redundantes — múltiplas regras que alcançam o mesmo efeito. Aumentam o overhead de processamento e dificultam as auditorias.
- Regras excessivamente permissivas — a clássica regra "qualquer origem, qualquer destino, qualquer serviço, permitir" adicionada durante uma sessão de resolução de problemas às 2 da manhã e nunca removida. Encontrámos uma organização com 17 destas nas suas firewalls de produção.
- Regras referentes a hosts descomissionados — servidores que foram retirados há anos mas ainda têm regras de firewall a permitir tráfego para os seus antigos endereços IP, que agora podem estar atribuídos a sistemas diferentes.
Why This Matters
A firewall with 800+ unreviewed rules isn't a security control — it's a compliance checkbox. Attackers don't need to bypass your firewall if your rules already permit the traffic they need. Lateral movement, command-and-control callbacks, data exfiltration — if your rules are permissive enough, the firewall logs the traffic and waves it through.
We've seen breaches where the forensic investigation revealed that every single step of the kill chain traversed the firewall legitimately — because the rules allowed it.
The Review Cadence Problem
Most organisations we work with have no formal firewall rule review process. Those that do typically review annually — which is insufficient given the pace of infrastructure change. Best practice is quarterly review of all rules, with monthly review of any rule flagged as high-risk (broad permissions, internet-facing, or critical asset access).
The challenge is that manual rule review doesn't scale. Reading 800 rules line by line is tedious, error-prone, and requires deep knowledge of both the network topology and the business context for each rule. This is why automated policy analysis tools exist — and why they should be part of every organisation's security toolkit.
Layer7's FAC Approach
Our Firewall Assurance and Compliance service takes a structured approach:
- Auditoria de base. Ingerimos o conjunto completo de regras e executamos análise automatizada para identificar regras sombreadas, redundantes, excessivamente permissivas e órfãs. Isto tipicamente reduz o conjunto de regras em 20-30% na primeira passagem.
- Mapeamento de contexto empresarial. Trabalhamos com as equipas de rede e aplicações do cliente para mapear as regras restantes a justificações empresariais. Qualquer regra que não possa ser justificada é sinalizada para remoção.
- Priorização baseada em risco. Nem todas as violações de regras são iguais. Uma regra any-any numa VLAN de gestão interna é de menor risco do que uma no perímetro exposto à internet. Pontuamos e priorizamos as conclusões em conformidade.
- Governação contínua. Estabelecemos um processo de gestão de alterações para regras de firewall — nenhuma regra é adicionada sem uma justificação empresarial documentada, uma data de expiração e um responsável. As regras são revistas numa cadência definida.
- Relatórios e conformidade. Os relatórios mensais mostram métricas de higiene de regras, tendências de alterações e postura de conformidade. Isto dá aos CISOs os dados de que precisam para relatórios ao conselho e preparação para auditorias.
Autoavaliação Rápida
Responda a estas cinco perguntas sobre o seu parque de firewalls:
- Quando foi a última vez que cada regra foi revista e justificada?
- Quantas regras contêm "any" no campo de origem, destino ou serviço?
- Tem um processo documentado para a retirada de regras?
- Consegue identificar quais regras estão associadas a sistemas descomissionados?
- Cada regra tem um responsável nomeado e uma justificação empresarial?
Se respondeu "não" ou "não sei" a três ou mais, as suas regras de firewall são provavelmente o seu maior risco não gerido. A boa notícia: isto é totalmente corrigível e o ROI é mensurável.
O serviço de Garantia e Conformidade de Firewall da Layer7 Networking tem ajudado organizações sul-africanas a recuperar o controlo das suas políticas de firewall desde 2003. Contacte-nos para uma avaliação inicial gratuita.