← До повного змісту CIS OPNsense Benchmark

CIS Benchmark

CIS Benchmark • OPNsense v1.0.0

4. Політики брандмауера

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Політики брандмауера».

Рекомендацій: 8

v1.0.0

4.1.1 Переконайтеся, що заборона за замовчуванням застосована для всіх внутрішніх інтерфейсів (Вручну)

Level 1Вручну

            Оригінал: Ensure Default Deny is Enforced on All Internal Interfaces (Manual)
        

Ви повинні застосувати політику заборони за замовчуванням на всіх внутрішніх інтерфейсах (наприклад, LAN, VLAN, DMZ, VPN).

💡 Обґрунтування безпеки:

Відмова за замовчуванням запобігає випадковому висвітленню та обмежує бічний рух.

⚠️ Вплив на робочий процес (Impact):

Ви можете порушувати незадокументований трафік програми, доки ви явно не дозволите це.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

– Перейдіть до брандмауера → Правила – Переконайтеся, що кожен внутрішній інтерфейс містить лише чіткі правила дозволу та відсутність широких дозволів «будь-який/будь-який». – Підтвердьте, що трафік, який явно не дозволено, заборонено. – Вилучити широкі дозволені правила. — Замінити явними правилами дозволу з використанням псевдонімів.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 4.2
IG 1, 2, 3

Establish and Maintain a Secure Configuration Process for Network Infrastructure Establish and maintain a secure configuration process for network devices. Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.5
IG 1, 2, 3

Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

CIS Controls V7: 11.1
IG 1, 2

Maintain Standard Security Configurations for Network Devices Maintain standard, documented security configuration standards for all authorized network devices.

4.1.2 Переконайтеся, що найменші привілеї застосовано до всіх правил дозволу (Вручну)

Level 1Вручну

            Оригінал: Ensure Least Privilege is Applied to All Permit Rules (Manual)
        

Усі дозволені правила мають обмежувати трафік: • Джерело • Пункт призначення • Протокол • Порт/сервіс

💡 Обґрунтування безпеки:

Надто широкі правила створюють приховані шляхи атаки.

⚠️ Вплив на робочий процес (Impact):

Спочатку може знадобитися більше правил.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Перевірте налаштування в графічному веб-інтерфейсі:

Перейдіть до Брандмауер → Правила
Визначте дозволені правила за такими параметрами: – Джерело = будь-який – Одержувач = будь-який – Порт = будь-який
Перевірте наявність бізнес-обґрунтування.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Перейдіть до Брандмауер → Правила
Визначте дозволені правила за такими параметрами: – Джерело = будь-який – Одержувач = будь-який – Порт = будь-який
Перевірте наявність бізнес-обґрунтування.
Замініть загальні правила на правила, керовані псевдонімами.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

4.1.3 Переконайтеся, що правила «Будь-які → Будь-які» заборонені (Вручну)

Level 1Вручну

            Оригінал: Ensure “Any → Any” Rules are Prohibited (Manual)
        

Ви не повинні розгортати жодне правило, яке дозволяє «будь-яке джерело → будь-яке призначення → будь-який порт».

💡 Обґрунтування безпеки:

Це перешкоджає сегментації та забезпечує необмежений бічний рух.

⚠️ Вплив на робочий процес (Impact):

У деяких застарілих середовищах може знадобитися модернізація дизайну правил.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Перевірте налаштування в графічному веб-інтерфейсі:

Перейдіть до брандмауера → Правила → [Усі інтерфейси]
Визначте правила, де: – Джерело = будь-який – Одержувач = будь-який – Порт призначення = будь-який

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Перейдіть до брандмауера → Правила → [Усі інтерфейси]
Визначте правила, де: – Джерело = будь-який – Одержувач = будь-який – Порт призначення = будь-який
Видаліть правило. – Замініть явними правилами за допомогою псевдонімів.

Значення за замовчуванням: IPv4 «За замовчуванням дозволити LAN для будь-якого правила» IPv6 «За замовчуванням дозволити LAN для IPv6 для будь-якого правила»

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

4.1.4 Переконайтеся, що кожне правило має опис у стандартному форматі (Вручну)

Level 1Вручну

            Оригінал: Ensure Every Rule Has a Description Using a Standard  Format (Manual)
        

Кожне правило брандмауера має містити опис у форматі: <ЗОНА> → <ЦІЛЬ> : <СЕРВІС> (призначення)

💡 Обґрунтування безпеки:

Описи необхідні для перевірки та безпечного контролю змін.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Перевірте налаштування в графічному веб-інтерфейсі:

Перейдіть до Брандмауер → Правила
Переконайтеся, що жодне правило не має порожнього поля опису.
Переконайтеся, що описи є значущими та стандартизованими.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Перейдіть до Брандмауер → Правила
Переконайтеся, що жодне правило не має порожнього поля опису.
Переконайтеся, що описи є значущими та стандартизованими.
Оновіть усі правила, які не відповідають
Збережіть кожне правило

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

4.1.5 Переконайтеся, що псевдоніми використовуються для хостів, мереж і груп портів (Вручну)

Level 1Вручну

            Оригінал: Ensure Aliases are Used for Hosts, Networks, and Port  Groups (Manual)
        

Ви повинні використовувати псевдоніми для: • Будь-який хост, на який посилається більше одного разу • Будь-яка група портів, на яку посилаються більше одного разу • Усі VLAN/зони безпеки

💡 Обґрунтування безпеки:

Псевдоніми зменшують кількість помилок і спрощують аудит.

⚠️ Вплив на робочий процес (Impact):

Час початкового налаштування трохи збільшується.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Перевірте налаштування в графічному веб-інтерфейсі:

Перейдіть до брандмауера → Псевдоніми
Підтвердьте: – Мережі визначено як псевдоніми – Існують загальні групи портів (DNS, NTP, Web, AD тощо)
Повторно підтверджуйте посилання на псевдоніми правил замість необроблених IP-адрес.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Перейдіть до брандмауера → Псевдоніми
Підтвердьте: – Мережі визначено як псевдоніми – Існують загальні групи портів (DNS, NTP, Web, AD тощо)
Повторно підтверджуйте посилання на псевдоніми правил замість необроблених IP-адрес.
Створіть псевдоніми та відповідно оновіть правила.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

4.1.6 Переконайтеся, що в інтерфейсі входу реалізовано правила (Вручну)

Level 1Вручну

            Оригінал: Ensure Rules are Implemented on the Ingress Interface (Manual)
        

Ви повинні визначити правила для інтерфейсу, через який трафік надходить у брандмауер.

💡 Обґрунтування безпеки:

OPNsense оцінює правила на основі вхідного інтерфейсу. Неправильні правила викликають обхід або невдача.

⚠️ Вплив на робочий процес (Impact):

Може знадобитися рефакторинг, якщо правила були реалізовані неправильно.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Перевірте налаштування в графічному веб-інтерфейсі:

Перейдіть до Брандмауер → Правила
Перевірте наявність кожного правила в правильному вхідному інтерфейсі.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Перейдіть до Брандмауер → Правила
Перевірте наявність кожного правила в правильному вхідному інтерфейсі.
Перемістіть правила в правильний інтерфейс, якщо вони знаходяться в неправильному.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

4.1.7 Переконайтеся, що для кожного інтерфейсу використовується стандартне впорядкування правил (Вручну)

Level 1Вручну

            Оригінал: Ensure Standard Rule Ordering is Used Per Interface (Manual)
        

Правила повинні бути впорядковані таким чином: 1. Управління / антиблокування 2. Інфраструктура (DNS/DHCP/NTP) 3. Правила внутрішнього доступу 4. Правила доступу до Інтернету 5. Явні правила блокування (реєструються)

💡 Обґрунтування безпеки:

Послідовне впорядкування покращує читабельність і зменшує кількість помилок.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

– Перейдіть до брандмауера → Правила → [Інтерфейс] – Підтвердьте, що замовлення відповідає стандарту

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

– Перейдіть до брандмауера → Правила → [Інтерфейс] – Підтвердьте, що замовлення відповідає стандарту – Змініть порядок правил, які не відповідають

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

4.1.8 Переконайтеся, що плаваючі правила обмежені випадками використання міжзональної політики (Вручну)

Level 1Вручну

            Оригінал: Ensure Floating Rules are Restricted to Cross-Zone Policy  Use Cases (Manual)
        

Плаваючі правила слід використовувати лише тоді, коли: • Політика має застосовуватися до кількох інтерфейсів • Потрібна «швидка» оцінка

💡 Обґрунтування безпеки:

Плаваючі правила можуть перевизначати політику інтерфейсу та спричиняти неочікувану поведінку.

⚠️ Вплив на робочий процес (Impact):

Може знадобитися перенесення правил назад до інтерфейсів.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / WebUI)

Перевірте налаштування в графічному веб-інтерфейсі:

Перейдіть до Брандмауер → Правила → Плаваючий
Перевірте, що кожне плаваюче правило має: – документальне обґрунтування – обмежений обсяг

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / WebUI)

Виконайте такі дії в графічному інтерфейсі:

Перейдіть до Брандмауер → Правила → Плаваючий
Перевірте, що кожне плаваюче правило має: – документальне обґрунтування – обмежений обсяг
Перемістіть правила до наборів правил інтерфейсу, коли це можливо.

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped 5 Service Configuration

5.1 NTP Service Policy

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.

До повного змісту CIS OPNsense Benchmark →