防火墻規(guī)則永遠(yuǎn)不會(huì)消亡，它們只是存在一些漏洞，但其復(fù)雜度將繼續(xù)提升。現(xiàn)在，下一代應(yīng)用程序意識(shí)的防火墻可能讓事情變得更加復(fù)雜，因?yàn)檫@些防火墻需要維護(hù)數(shù)百甚至成千上萬(wàn)的應(yīng)用程序簽名。

防火墻規(guī)則膨脹：從何而來(lái)？

在大型企業(yè)中，有專(zhuān)門(mén)負(fù)責(zé)防火墻的安全工作人員，他們將全部時(shí)間都花在編寫(xiě)和測(cè)試防火墻規(guī)則上。他們的職位之所以存在，是因?yàn)樗麄兊钠髽I(yè)擁有龐大而復(fù)雜的防火墻裝置，這些防火墻要與多個(gè)隔離區(qū)（DMZ）、數(shù)量不固定的應(yīng)用程序以及幾十個(gè)合作伙伴企業(yè)相協(xié)調(diào)。

這些防火墻專(zhuān)家這樣做，可以使企業(yè)阻斷某種流量類(lèi)型，或者選擇性地允許這種流量在特定外部或內(nèi)部實(shí)體內(nèi)傳輸。他們努力的最終結(jié)果是將形成一個(gè)龐大而復(fù)雜的規(guī)則集，這使管理變得更加困難。

糟糕的是隨著規(guī)則集的增加，性能將會(huì)受到影響。規(guī)則列表是從上到下進(jìn)行解析的，規(guī)則集越長(zhǎng)，處理延遲就更長(zhǎng)。并且，它們還將消耗更多的設(shè)備內(nèi)存，損壞性能，提高對(duì)設(shè)備的處理和功能要求。同時(shí)，這種增加的復(fù)雜性還是經(jīng)濟(jì)和安全兩方面的敵人，因?yàn)檫@意味著需要更多的變通方案，存在更多的錯(cuò)誤。

讓事情更糟糕的是，應(yīng)用程序簽名膨脹

一些安全主管沒(méi)有選擇將這種應(yīng)用程序和用戶(hù)意識(shí)的下一代防火墻添加到現(xiàn)有防火墻中，這樣他們從可以一切從零開(kāi)始。他們沒(méi)有將防火墻規(guī)則從4層設(shè)備移植到另一個(gè)設(shè)備，而是安裝一個(gè)4到7層設(shè)備，然后從頭開(kāi)始。

然而，即使是從零開(kāi)始，下一代防火墻也不可能避免膨脹問(wèn)題。因?yàn)檫@一次，應(yīng)用程序簽名造成新的膨脹。每個(gè)供應(yīng)商的防火墻都能夠正確識(shí)別幾百個(gè)應(yīng)用程序。更重要的是，IT企業(yè)會(huì)為內(nèi)部、定制化或新應(yīng)用程序添加更多資料信息。在未來(lái)幾年，隨著平臺(tái)即服務(wù)（PaaS）的普及，軟件即服務(wù)（SaaS）的持續(xù)爆炸，以及企業(yè)移動(dòng)設(shè)備和移動(dòng)應(yīng)用程序的快速發(fā)展，所有這三種類(lèi)型的應(yīng)用程序都會(huì)變得越來(lái)越重要。

處理防火墻應(yīng)用程序簽名膨脹的步驟

IT不應(yīng)該不刪除過(guò)時(shí)的舊簽名繼續(xù)不斷增加新簽名，他們需要建立強(qiáng)大的流程來(lái)管理這些簽名集。如果供應(yīng)商自身的簽名文件易于模塊化處理，將會(huì)對(duì)IT很有幫助。這樣的話(huà)，IT只需要將實(shí)際需要的規(guī)則加入循環(huán)中即可，還能夠減小供應(yīng)商自身簽名文件膨脹的影響。

第一步是設(shè)置簽名老化時(shí)間，這樣每個(gè)規(guī)則都將標(biāo)注其創(chuàng)建時(shí)間以及所有者。第二步是制定一個(gè)定期重新評(píng)估周期。如果開(kāi)發(fā)人員開(kāi)發(fā)了一個(gè)新應(yīng)用程序，隨后這個(gè)應(yīng)用程序被商業(yè)產(chǎn)品所取代，IT在接下來(lái)的一年必須規(guī)定一個(gè)時(shí)間對(duì)規(guī)則進(jìn)行審查以刪除舊簽名。另一方面，規(guī)則的所有者應(yīng)被給予發(fā)言權(quán)，為其自身辯護(hù)或者取消對(duì)簽名的刪除。

底線(xiàn)是，如果在這個(gè)全新的下一代防火墻世界，IT未能保持簽名集的干凈和整潔，它至少應(yīng)該要能夠阻止膨脹。每個(gè)規(guī)則在被需要時(shí)，都有其獨(dú)特的用處和必要的功能，但是當(dāng)不需要時(shí)，它只是一個(gè)負(fù)擔(dān)。引用英國(guó)作家Arthur Quiller-Couch的話(huà)說(shuō)，必須忍痛殺掉一些心肝寶貝（“Kill your darlings ”）。