sentinel, Lab
技战法概述
防火墙和安全组是企业网络安全防护的第一道防线，通过访问控制列表（ACL）规则对网络流量进行过滤和控制。然而，随着企业业务的发展和网络架构的演变，防火墙和安全组中的策略规则往往会不断累积，导致以下问题：
- 规则数量庞大且缺乏有效管理，部分规则已不再适用但仍保留在策略中（冗余规则）
- 规则之间存在冲突或覆盖关系，导致部分规则永远不会被匹配（阴影规则）
- 规则粒度过粗，使用
any作为源或目的地址/端口，违背了最小权限原则 - 缺乏明确的规则责任人和有效期标识，无法判断规则是否仍然需要
这些策略管理问题不仅增加了安全运维的复杂性，更重要的是削弱了网络安全防护的有效性——冗余和过宽的规则相当于为攻击者敞开了不必要的通道。企业需要定期对防火墙和安全组策略进行精细化梳理和冗余清理，确保每条规则都有明确的业务需求、精确的配置和有效的管理。
三阶段技战法
| 阶段 | 名称 | 关键目标 |
|---|---|---|
| 阶段一 | 策略规则全量采集与分析 | 采集所有防火墙和安全组的策略规则，进行结构化分析 |
| 阶段二 | 规则分类与优化 | 将规则按照业务用途进行分类，识别冗余、过期和过于宽泛的规则 |
| 阶段三 | 清理实施与持续治理 | 制定清理方案并执行，建立策略管理的长效机制 |
规则问题分布
| 问题类型 | 占比 | 说明 |
|---|---|---|
| 正常规则 | 40% | 有效且精确的策略规则 |
| 冗余规则 | 20% | 已有更精确规则覆盖，本条规则不会被匹配 |
| 阴影规则 | 10% | 被前置规则完全覆盖，永远不会被执行 |
| 过宽规则 | 18% | 源/目的/端口使用 any，粒度过粗 |
| 过期规则 | 12% | 已无对应业务需求，应予清理 |