1.3 规则检查
1. 防火墙访问控制规则集是否和防火墙策略一致？应该确保访问控
制规则集依从防火墙策略，如严格禁止某些服务、严格开放某些
服务、缺省时禁止所有服务等，以满足用户安全需求，实现安全
目标。
2. 防火墙访问控制规则是否有次序性？是否将常用的访问控制规则
放在前面以增加防火墙的性能？评估防火墙规则次序的有效性。
防火墙访问控制规则集的一般次序为：
反电子欺骗的过滤（如，阻断私有地址、从外口出现的内部地
址）
用户允许规则（如，允许 HTTP 到公网 Web 服务器）
管理允许规则
拒绝并报警（如，向管理员报警可疑通信）
拒绝并记录（如，记录用于分析的其它通信）
防火墙是在第一次匹配的基础上运行，因此，按照上述的次序配
置防火墙，对于确保排除可疑通信是很重要的。
3. 防火墙访问控制规则中是否有保护防火墙自身安全的规则
4. 防火墙是否配置成能抵抗 DoS/DDoS 攻击？
5. 防火墙是否阻断下述欺骗、私有（RFC1918）和非法的地址
标准的不可路由地址（255.255.255.255、127.0.0.0）
私 有 （ RFC1918 ） 地 址 （ 10.0.0.0 – 10.255.255.255 、
