防火墙管理 · 加拿大
服务类别: 托管IT防火墙管理：规则经过审查，固件保持最新，每次变更都有记录
防火墙决定了哪些流量能从互联网进入您的网络，哪些能出去。我们让它的规则保持精简，固件及时打补丁，VPN正常运行，配置有据可查。
概览
- 服务内容
- 由 Podium Catchers 远程提供的企业防火墙和VPN网关持续性管理
- 适合对象
- 员工约5至200人、拥有一台或多台商用级防火墙，并有远程办公员工或多个站点的加拿大机构
- 核心内容
- 规则库审查、固件更新、VPN管理、安全订阅服务管理、配置备份和变更控制（以服务范围为准）
- 默认不含
- 防火墙硬件、厂商订阅续费、渗透测试、持续性告警响应以及非工作时间变更，除非已写入方案
- 计价方式
- 按每台防火墙每月计费，以书面报价确认；网站公布的数字为待批准的拟定价格
- 变更控制
- 每一项规则变更都要提出申请，经指定联系人批准，事先备份配置，并连同业务理由一起记录
- 如何开始
- 预约咨询，或进行包含防火墙配置审查的网络健康评估
防火墙管理包括哪些工作
企业防火墙在安装时配置一次，之后往往一放就是好几年。与此同时，2019年为某个需要远程访问的供应商加了规则，为摄像头系统开了一个端口，固件落后好几个版本，而厂商还在陆续发布其VPN服务存在漏洞的安全公告。边界设备之所以常成为攻击目标，正是因为它们直接面向互联网，却很少有人盯着。
防火墙管理就是对这台设备进行有章法的日常维护。我们定期审查规则库，删除不再需要的规则；查看发行说明后安装固件更新；管理客户端VPN和站点间VPN；保持入侵防御和网页过滤订阅有效并调校得当；每次变更之前都备份配置。
这项服务的核心是变更控制。没有申请、没有您指定联系人的批准、没有记录理由和回退方案，就不会新增或删除任何规则。久而久之，您的防火墙上每一条例外规则都能说得清来由。
我们常发现的防火墙风险
没人说得清的规则
为早已不合作的供应商、摄像头或测试而建的端口转发和任意对任意放行规则，至今仍把内部系统暴露在互联网上。
面向互联网的设备固件过时
防火墙落后好几个版本，缺少针对SSL VPN或管理界面已公开漏洞的修复。
安全订阅悄悄过期
入侵防御、网关防病毒或网页过滤许可证已在不知不觉中过期，仪表板上显示的功能其实早已不起作用。
远程访问防护薄弱
员工共用VPN账户，已离职员工仍能连接，远程访问也没有启用多因素身份验证。
核心能力
定期审查规则库
定期对照每条策略和NAT规则的记录用途进行审查，经您批准后删除未使用、被覆盖或范围过宽的规则。
固件生命周期
跟踪厂商安全公告，在维护窗口内测试并安装固件更新，对关键安全修复加快处理。
VPN管理
客户端VPN配置文件启用与 Microsoft Entra ID 或厂商身份集成绑定的多因素身份验证，并管理办公室之间的站点间隧道。
安全服务调校
按您的业务配置入侵防御、应用控制、DNS和网页过滤策略，并在它们拦截正常工作时进行复核调整。
变更控制与备份
申请、批准、变更前配置备份，以及一份记录谁提出了什么要求、原因是什么的变更日志。
日志与告警审查
在约定服务时段内审查防火墙日志和厂商告警，发现可疑活动时上报给您的联系人和我们的安全团队。
服务范围一览
每台受管防火墙及其审查频率都会在方案中列明。
通常包含
- 按约定周期审查规则库和NAT
- 在维护窗口内为列明的防火墙更新固件
- 客户端VPN和站点间VPN配置及用户管理
- 监控安全订阅状态并提醒续费
- 每次变更前后备份配置
- 变更申请经指定联系人批准并记录在案
- 在约定服务时段内审查防火墙日志和告警
需另行确定范围或单独报价
- 购买防火墙硬件和厂商订阅
- 渗透测试和正式的漏洞评估
- 7×24小时持续安全监控和事件响应
- 防火墙更换和跨厂商迁移，作为项目单独处理
- 工作时间以外的变更，除非已写入方案
我们常管理的防火墙
我们会在前期摸底时确认型号、固件分支和订阅状态。
- Fortinet FortiGate，配合 FortiClient VPN 和 FortiGuard 服务
- SonicWall TZ 和 NSa 系列，配合 Capture 及内容过滤服务
- WatchGuard Firebox，配合 Total Security 订阅
- Cisco Meraki MX 安全设备
- 适用于较小办公室的 Ubiquiti UniFi 网关
- 用于VPN多因素身份验证的 Microsoft Entra ID 和 RADIUS
- WireGuard 和 IPsec 站点间隧道
适合哪些企业
有远程办公员工的公司
员工需要通过VPN连接来访问文件、业务软件或远程桌面的机构。
对外提供互联网服务的办公室
通过防火墙对外发布服务器、摄像头系统、电话系统或远程访问门户的企业。
负有隐私义务的机构
诊所、会计师事务所和律师事务所等需要以有记录的方式控制网络访问、作为重视隐私的运营方式的一部分，同时也会听取其自身合格顾问意见的机构。
带来的改变
- 删除不需要的规则，攻击面随之缩小
- 最暴露于互联网的设备固件保持最新
- 远程访问受多因素身份验证保护
- 每条防火墙例外规则都记录了业务理由
- 您付费购买的安全订阅真正启用并调校到位
- 变更产生意外影响时能迅速回退
我们如何接手防火墙
保存配置
我们备份当前配置，并记录固件、订阅和管理员账户情况。
基线审查
逐一审查每条规则、NAT条目、VPN账户和对外暴露的服务，并分类为需要、存疑或未使用。
方案与清理计划
您会收到一份书面服务范围和建议变更清单，每一项都等待您的批准。
整改
按照回退方案实施已批准的清理、固件更新和VPN多因素身份验证。
持续管理
持续处理变更申请、执行固件更新周期和定期规则审查，并在每次审查时报告发现。
合作方式
所有方式都以书面报价确认。
防火墙审查
一次性的配置和规则审查，作为网络健康评估的一部分提供。
托管防火墙方案
按每台防火墙持续管理，可与网络管理和网络监控组合。
纳入侧重安全的套餐
在高级套餐中，防火墙管理与托管终端安全和 Microsoft 365 安全一并提供。
常见问题
防火墙规则多久审查一次？
审查频率在您的服务范围中确定，常见为每季度或每半年一次。此外，在员工离职、更换供应商或新增站点等重大变化之后，也会进行临时审查。
我们可以自己提出变更吗？
可以。您的指定联系人通过我们的工单流程提交变更申请。我们会评估风险、确认批准、备份配置，然后再进行变更。
你们会全天候监控防火墙吗？
日志和告警审查在服务范围所定义的约定时段内进行。持续监控和非工作时间响应不包含在内，除非已写入方案。
我们的防火墙很旧了，你们还能管理吗？
如果它仍能收到厂商的固件更新，一般可以。如果已经终止支持，我们会建议更换，因为厂商将不再发布安全修复。
管理好防火墙就能保证我们的安全吗？
它能降低网络边界上的风险，但只是其中一层。终端防护、Microsoft 365 安全、备份和员工安全意识同样重要，这些我们也可以纳入服务范围。