CIS Benchmark • pfSense Firewall v1.1.0
4. Політики брандмауера
Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Політики брандмауера».
Рекомендацій: 6
v1.1.0
4.1.1 Переконайтеся, що в правилах брандмауера немає правила дозволу з будь-яким полем призначення (Вручну)
Level 1Вручну
Оригінал: Ensure no Allow Rule with Any in Destination Field present in the Firewall Rules (Manual)
Поле «Правила брандмауера з будь-яким джерелом» дозволяє використовувати всі IP-адреси мережі щоб отримати доступ до вказаного призначення, налаштованого в правилах брандмауера для певних служб.
💡 Обґрунтування безпеки:
У будь-якій належним чином розробленій та реалізованій архітектурі брандмауера Мілнера підключення який завантажує службу, має бути явно дозволено з IP-адреси джерела на конкретну IP-адресу призначення. Ця послуга усуває шанси на експлойт через неправильну конфігурацію служби.
🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)
Перевірте, чи немає дозволених правил у брандмауері, який має значення Any у полі Destination у CLI: pfctl -sr
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)
Видаліть або вимкніть правило з брандмауера, яке має будь-яке значення в полі призначення.
Значення за замовчуванням: Стандартне правило “Дозволити будь-які” для запобігання блокуванню. Правила «Дозволити будь-які» за замовчуванням для інтерфейсів локальної мережі дозволять підключення до мережі в межах локальної мережі.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.2
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process for Network Infrastructure Establish and maintain a secure configuration process for network devices. Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.
CIS Controls V8: 4.4
IG 1, 2, 3
Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third- party firewall agent.
CIS Controls V8: 4.5
IG 1, 2, 3
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.
CIS Controls V7: 9.4
IG 1, 2, 3
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.
CIS Controls V7: 11.1
IG 1, 2
Maintain Standard Security Configurations for Network Devices Maintain standard, documented security configuration standards for all authorized network devices.
4.1.2 Переконайтеся, що в правилах брандмауера немає правила дозволу з будь-яким у полі Source. (Вручну)
Level 1Вручну
Оригінал: Ensure no Allow Rule with Any in Source field present in the Firewall Rules (Manual)
Правила брандмауера з будь-яким у полі призначення дозволяють отримати доступ до всіх IP-адрес Адреси мережі з указаних джерел, налаштованих у правилах брандмауера для конкретні послуги
💡 Обґрунтування безпеки:
В ідеалі трафік має бути явно дозволений від певного джерела до певного Пункт призначення необхідних послуг. Це забезпечує кращий контроль над пропусками транспорту через брандмауер і зменшити ймовірність експлойту через службу неправильна конфігурація.
🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)
Переконайтеся, що в брандмауері немає жодних дозволених правил, для яких у полі Source використовується Any. Якщо в брандмауері існує будь-яке таке правило, воно повинно мати бізнес-обґрунтування, а також його слід задокументувати в CLI: pfctl -sr
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)
Видаліть правило з брандмауера, для якого в полі «Джерело» було використано будь-яке.
Значення за замовчуванням: Стандартне правило “Дозволити будь-які” для запобігання блокуванню. Правила «Дозволити будь-які» за замовчуванням для інтерфейсів локальної мережі дозволять підключення до мережі в межах локальної мережі.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.2
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process for Network Infrastructure Establish and maintain a secure configuration process for network devices. Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.
CIS Controls V8: 4.4
IG 1, 2, 3
Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third- party firewall agent.
CIS Controls V8: 4.5
IG 1, 2, 3
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.
CIS Controls V7: 9.4
IG 1, 2, 3
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.
CIS Controls V7: 11.1
IG 1, 2
Maintain Standard Security Configurations for Network Devices Maintain standard, documented security configuration standards for all authorized network devices.
4.1.3 Переконайтеся, що в правилах брандмауера немає правила дозволу з полем Any in Services. (Вручну)
Level 1Вручну
Оригінал: Ensure no Allow Rule with Any in Services field present in the Firewall Rules (Manual)
Правила брандмауера з будь-яким у полі «Сервіс» дозволяють отримати доступ до всіх служб із указаного джерела на вказане місце призначення, налаштоване в правилах брандмауера.
💡 Обґрунтування безпеки:
Багато служб, зокрема telnet, FTP і TFTP, мають проблеми з безпекою. Зловмисники можуть використовувати ці служби в своїх інтересах, щоб отримати доступ до комп’ютерів облікові дані або запускати DoS-атаки. Ці служби повинні бути налаштовані відповідно до вимоги компанії.
🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)
Переконайтеся, що в брандмауері немає жодних дозволених правил, для яких у полі «Служба» використовується значення Any. У CLI: pfctl -sr
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)
Видаліть правило з брандмауера, яке має Будь-яке, що використовується в полі Служба.
Значення за замовчуванням: Стандартне правило “Дозволити будь-які” для запобігання блокуванню. Правила «Дозволити будь-які» за замовчуванням для інтерфейсів локальної мережі дозволять підключення до мережі в межах локальної мережі.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.2
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process for Network Infrastructure Establish and maintain a secure configuration process for network devices. Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.
CIS Controls V8: 4.4
IG 1, 2, 3
Implement and Manage a Firewall on Servers Implement and manage a firewall on servers, where supported. Example implementations include a virtual firewall, operating system firewall, or a third- party firewall agent.
CIS Controls V8: 4.5
IG 1, 2, 3
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.
CIS Controls V7: 9.4
IG 1, 2, 3
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.
CIS Controls V7: 11.1
IG 1, 2
Maintain Standard Security Configurations for Network Devices Maintain standard, documented security configuration standards for all authorized network devices.
4.1.4 Переконайтеся, що немає невикористаних політик (Вручну)
Level 1Вручну
Оригінал: Ensure there are no Unused Policies (Manual)
Переконайтеся, що немає невикористаних політик брандмауера
💡 Обґрунтування безпеки:
Невикористані політики можуть надавати ненавмисний або передбачуваний доступ до служб або хостів.
🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)
Перегляньте всі політики брандмауера для використання та перевірте призначення політики.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)
Вимкніть, а потім видаліть усі невикористовувані політики брандмауера.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.
CIS Controls V7: 11.1
IG 1, 2
Maintain Standard Security Configurations for Network Devices Maintain standard, documented security configuration standards for all authorized network devices.
4.1.5 Переконайтеся, що ведення журналу ввімкнено для всіх правил брандмауера (Вручну)
Level 1Вручну
Оригінал: Ensure Logging is Enable for All Firewall Rules (Manual)
Переконайтеся, що для всіх правил брандмауера ввімкнено журналювання.
💡 Обґрунтування безпеки:
Журнал подій правил брандмауера допомагає визначити дозволений і заблокований трафік і також допомагає у вирішенні проблем і судово-медичному дослідженні. Увімкнути завжди добре журналювання для всіх правил брандмауера, але реєстрація кількох правил брандмауера призводить до величезного файли журналу, що вимагає величезного дискового простору та операцій керування. Логи грають відіграє важливу роль в аудиті безпеки, реагуванні на інциденти, обслуговуванні системи та криміналістиці дослідження та має бути налаштований відповідно до потреб бізнесу.
🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)
– Перейдіть до «Статус» > «Системні журнали» > «Параметри» – перевірте, чи ввімкнено потрібні параметри журналювання
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)
– Перейдіть до «Статус» > «Системні журнали» > «Параметри» — позначте потрібні параметри журналювання, щоб увімкнути.
Значення за замовчуванням: Наступні параметри журналу ввімкнено за замовчуванням: Блокування брандмауера за замовчуванням: • Пакети журналу, які відповідають правилам блокування за замовчуванням у наборі правил • Пакети журналу, заблоковані правилами «Блокувати мережі Bogon» • Пакети журналу, заблоковані правилами «Блокувати приватні мережі» Журнал веб-сервера: • Журнал помилок процесу веб-сервера Зміни журналу конфігурації: • Генерувати записи журналу під час внесення змін до конфігурації.
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.8
IG 1, 2
Document Data Flows Document data flows. Data flow documentation includes service provider data flows and should be based on the enterprise’s data management process. Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.
CIS Controls V8: 8.2
IG 1, 2, 3
Collect Audit Logs Collect audit logs. Ensure that logging, per the enterprise’s audit log management process, has been enabled across enterprise assets.
CIS Controls V7: 6.2
IG 1, 2, 3
Activate audit logging Ensure that local logging has been enabled on all systems and networking devices.
CIS Controls V7: 6.3
IG 1, 2
Enable Detailed Logging Enable system logging to include detailed information such as an event source, date, user, timestamp, source addresses, destination addresses, and other useful elements.
4.1.6 Переконайтеся, що запит ICMP безпечно налаштовано (Вручну)
Level 1Вручну
Оригінал: Ensure ICMP Request is securely configured (Manual)
ICMP (Internet Control Message Protocol) використовується мережевими пристроями для зв’язку один з одним. Хоча ICMP необхідний для керування мережею та усунення несправностей, дозвіл усіх типів запитів ICMP може збільшити ризик атак, таких як Ping Flood і ICMP Redirect. Тому рекомендується безпечно налаштувати дозволене типи запитів ICMP на брандмауері.
💡 Обґрунтування безпеки:
Дозвіл усіх типів запитів ICMP може збільшити ризик атак, таких як Ping Flood і ICMP Redirect. Щоб зменшити ці ризики, рекомендується безпечно налаштувати дозволені типи запитів ICMP на брандмауері.
🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)
У графічному інтерфейсі користувача: – Перейдіть до «Брандмауер» > «Правила» – Перегляньте правила брандмауера, щоб визначити, чи присутні правила запитів ICMP. – Перегляньте правила брандмауера, щоб визначити, чи присутні правила запитів ICMP. – Перевірте налаштовані типи запитів ICMP для кожного правила, щоб переконатися, що дозволені лише необхідні типи
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)
У графічному інтерфейсі:Перейдіть до «Брандмауер» > «Правила» – Перегляньте правила брандмауера, щоб визначити, чи присутні правила запитів ICMP. – Перегляньте правила брандмауера, щоб визначити, чи присутні правила запитів ICMP. – Перевірте налаштовані типи запитів ICMP для кожного правила, щоб переконатися, що дозволені лише необхідні типи
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 12.6
IG 1, 2
Use of Secure Network Management and Communication Protocols Use secure network management and communication protocols (e.g., 802.1X, Wi-Fi Protected Access 2 (WPA2) Enterprise or greater).
CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.
5 Service Configuration
5.1 SNMP Policy
