由于《萨班斯法案（SOX）》、《支付卡行业与数据安全标准（PCI-DSS）》和《医疗保险便携式和责任法案（HIPAA）》等标准，这些日子以来，网络安全审计的覆盖面越来越广，即使您并不需要遵守这些标准，但与合作伙伴或客户的业务关系，可能也需要您出示您的网络是安全的证明。但是，除了合规性要求，防火墙审计也是一个有非常好理由的最佳做法。她们可以发现你的网络安全的弱点，并帮您找到适合的政策。若果您曾经需要应对诉讼、违约、或监管要求问题，您的安全标准遭到质疑、防火墙审计还能帮助证明你一直在审查您的安全控制和策略控制情况，证明您再尽职尽责。

　　为了帮助您更好地理解防火墙审计的深度和广度，我们已经编制了一个典型的审计过程的步骤。

　　防火墙审计的主要步骤如下：

　　1、审查本公司的防火墙安全策略

　　如果你要去审计什么，你需要知道您需要寻找的是什么。您的公司应该有一个书面的安全指南，包括防火墙和相关的安全基础设施政策的总和。

　　如果您需要遵守行业、政府或者监管的标准，审查这些标准。这些要求在您的企业安全准侧中反映出来了吗？

　　2、审查本公司的防火墙业务政策

　　您的公司应该有明确的防火墙管理的程序，包括修改、批准、审计以及记录保存。

　　您的公司应该有明确的防火墙安全事件的响应程序。升级程序是什么？谁有权做出回应？您如何配合执法？一个攻击的影响会是什么？以及如何应对？如何协调业务？如何传达给客户和其他利益相关者？

　　3、审查有权更改防火墙的管理员

　　他们是否都还是该公司的员工？

　　他们是否仍然在防火墙管理团队？

　　他们是否受过适当的技术培训？

　　他们是否获得持续的技术培训？

　　您是否有一个用于识别和去除离开公司或不在是防火墙管理员的访问权限的程序？这个程序是否连接人力资源部门？

　　4、审查防火墙的变更手续

　　如何管理改变？用来接收请求，跟踪它们，批准它们，并完成验证的程序是什么？

　　谁中止了防火墙的改变？是否有正事的程序？有审计跟踪吗？

　　能捕捉到防火墙上的实际发生的所有的变化吗？是否有一个完整的审计轨迹？你能证明每一个变化的责任吗？

　　收集防火墙的变更请求，并确定它们的实施。是公司的政策批准的吗？防火墙变化的记录是否在规则库中。

　　5、审查防火墙系统的设计

　　是防火墙最新的技术吗？您的公司是否建立了技术升级程序的备案？

　　是否安装完成了所有最新的软件版本？定期补丁应用程序？

　　防火墙规则库是否充分保护了公司？如果你不能确定，请参考企业安全指南。

　　在书面政策中的规定是否充分执行了？您是否清楚它们是如何被执行的？

　　6、审查防火墙的审查程序

　　审查规则库是否至少每年一次？最好每季度一次；

　　是否进行了多余规则的确认，并把多余的规则从规则库中删除？

　　是否对未使用的规则和对象进行确认，并把他们从规则库中删除？

　　是否对过于宽松的规则进行调查？

　　是否确认了风险流量？

　　通过以上几个简单步骤，你应该优异地通过您的防火墙审计。