当我们接管防火墙时，通常在导出完成前就能预测发现。规则库像抽屉一样堆积：曾经临时必要的一切仍在其中，没有人记得哪些规则支撑着业务。这是我们首先寻找的五件事。
1. 为了"让它工作"的任意到任意规则
通常在靠近顶部的位置，会有一条在危机时期创建的规则——源任意、目的地任意、服务任意——在晚上11点让应用程序工作，但从未重新检查。它安静地绕过了下面的所有内容。我们找到它，确定它真正的用途，然后用本应存在的狭隘规则替换它。
2. 已离职员工的远程访问
VPN账户和防火墙用户很少与工资单一起离职。一个有有效VPN配置的前员工是一个您不知道何时开始的数据泄露。访问列表与当前员工列表协调——每次审计，没有例外。
3. 互联网上的管理界面
防火墙自己的管理页面暴露在WAN上"以便供应商支持"。管理访问应该在VPN后面，受源限制，带有MFA。仅凭这一个发现就能证明大多数审计的合理性。
4. 过期的安全订阅
IPS和网络过滤许可证八个月前到期的防火墙是一个自尊心强的路由器。硬件继续传输流量，所以没有人注意到保护已停止。续期日期应在受追踪的系统中，而不是经销商的记忆中——这正是我们的托管服务存在的目的，永远不会忘记。
5. 没有名称、所有者或命中的规则
一年内没有任何内容匹配的零命中规则、名为"test"的规则、没有人能解释的规则。每一个要么是死重量，要么是值得了解的故事。一个健康的规则库读起来像文档：每条规则都有名称、正当理由和定期审查。
如果这五条中的任何一条听起来很熟悉，一个安全评估需要数天而不是数月，并会产生一个您的团队可以执行的优先修复清单。