Un audit de conformité des pare-feux compare les configurations actuelles des pare-feux aux exigences établies par les réglementations, les normes industrielles et les politiques internes. La stratégie de gestion des risques définit les contrôles de sécurité initiaux, mais les configurations des pare-feux peuvent changer au fil du temps. Un audit de conformité des pare-feux passe en revue les configurations et les changements de règles afin de s’assurer de leur conformité permanente.
Souvent, vous devez procéder à des audits internes, puis faire appel à un auditeur tiers indépendant pour vérifier votre conformité aux exigences de sécurité du réseau. Par exemple, vous pouvez avoir besoin d’un audit externe pour vous conformer aux réglementations sur la protection des données et aux normes industrielles suivantes :
Au fur et à mesure que vous développez votre programme de conformité des pare-feux, vous pouvez utiliser les meilleures pratiques de cette liste de contrôle pour tous les processus et toutes les phases de l’audit des pare-feux.
Planning
Dans les environnements dynamiques, le contrôle continu de la conformité est essentiel. Avant de procéder à l’audit de conformité, vous devez disposer d’une base pour la mise en œuvre des contrôles de sécurité.
Vous devez procéder à une analyse des risques, y compris :
– Des types de données et risques
– Des dispositifs de réseau, y compris les routeurs, les commutateurs et les pare-feu
– Des mécanismes de sécurité, y compris VPN, SASE et autres contrôles d’accès au réseau.
Avant de contacter l’auditeur interne ou externe, vous devez :
– Identifier les parties responsables de l’informatique, de la sécurité du réseau et des applications.
– Documenter les topologies de réseau, y compris les segments de réseau contenant des actifs critiques
– Mettre à jour les politiques et procédures de sécurité du réseau
Collecte de la documentation
Pour la plupart des organisations, la collecte de documents prend beaucoup de temps. Pour vous préparer à l’audit de conformité de votre pare-feu, vous devez rassembler la documentation dans les catégories suivantes.
Base de règles du pare-feu
Vous devez préparer la documentation suivante :
- Ensembles de règles de pare-feu : adresse IP source autorisée, adresse IP de destination, port de destination et protocoles autorisés (TCP, ICMP ou UDP)
- Objets réseau : Représentations physiques (machines, serveurs) et logiques des entités réseau (adresses IP, sous-réseaux, réseaux)
- Avis sur Ruleset : configurations de pare-feu comme l’ordre des règles , règles risquées, règles trop permissives
Contrôles d’accès
Vous devez préparer la documentation suivante :
- Listes de contrôle d’accès (ACL) : trafic autorisé depuis l’Internet public vers les réseaux internes
- Contrôles d’accès utilisateur : utilisation du principe du moindre privilège avec des contrôles d’accès basés sur les rôles (RBAC) de manière cohérente sur les réseaux multicloud et hybrides, en particulier lorsque les adresses IP des utilisateurs et des ressources réseau changent
Processus de gestion du changement
Vous devez préparer la documentation suivante :
- Demandes de changement : Raisons et objectifs commerciaux pour modifier les ensembles de règles
- Évaluation des risques : examens préalables à la mise en œuvre des changements montrant les risques et l’impact potentiel
- Remédiation : atténuations réduisant les risques
- Piste d’audit : délais pour réaliser et approuver les modifications
Vulnérabilités
Vous devez préparer une documentation d’analyse de vulnérabilité couvrant les sujets syuivants :
- Firewall vendor hardware : vulnérabilités et expositions courantes (CVE) pour les micrologiciels et les systèmes d’exploitation
- Règles à risque : identification des règles exploitables et actions de remédiation
- Correction des vulnérabilités : comment prioriser les correctifs en fonction de la criticité des actifs
Rapports d’audit du pare-feu interne
En interne, vous effectuez régulièrement des contrôles du pare-feu. Vous devez fournir la documentation suivante :
- Contrôles de sécurité : Conformité à la politique de sécurité sur les pare-feu, les routeurs, les SDN et les réseaux hybrides
- Audits ad hoc : Identification proactive des règles de pare-feu pour les violations ou les exceptions
- Modifications non planifiées du pare-feu : approbations et exceptions des activités à la demande et en temps réel
Travail sur le terrain sur place
Un auditeur tiers effectue des examens en temps réel pour comparer les politiques et procédures écrites avec les activités quotidiennes de gestion du pare-feu. Pour vous préparer à cette opération, vous disposez des éléments suivants :
- Parties responsables : sécurité du réseau, infrastructure du réseau, administrateurs, propriétaires d’applications et autres personnes impliquées dans la création ou la surveillance des zones de sécurité
- Consoles de gestion : Confirmation des configurations du pare-feu et examen de l’automatisation des processus de gestion des modifications et des workflows
Rapport d’audit
Au cours du processus d’audit du pare-feu, vous devez avoir une idée du résultat final du rapport d’audit en fonction des questions de l’auditeur et des réponses de l’équipe interne. Même si vous ne pouvez pas tout préparer à l’avance, vous devez disposer de processus ou d’une automatisation qui vous permettent de remédier aux problèmes. En mettant en œuvre des modifications de pare-feu en temps réel pour améliorer la posture de sécurité, vous pouvez prouver que vous disposez d’une solide culture de conformité qui réagit aux risques de cybersécurité.
Accélérez la préparation à l’audit du pare-feu avec Tufin
Tufin fournit une plateforme unifiée qui rationalise la gestion et l’audit des pare-feu grâce à des politiques de sécurité unifiées (USP) indépendantes des fournisseurs, ce qui vous permet de créer des politiques de sécurité cohérentes sur des réseaux complexes. Grâce à la visibilité que vous obtenez grâce aux cartes Tufin de topologie de réseau , vous pouvez améliorer la sécurité du réseau et le dépannage des pare-feu pour une conformité continue .
Avec une console unique pour gérer les évaluations des risques et les automatisations des flux de travail, vous pouvez rationaliser
Pour voir comment Tufin peut vous aider à accélérer la préparation à l’audit, contactez nous pour une démonstration.
Source : Tufin
