防火墙规则只加不删？企业最后可能没人说得清谁能访问什么
不少企业的防火墙一开始并不复杂。后来上线新系统、开放供应商远程维护、做临时测试、搬迁服务器，每次都增加几条放行规则。业务恢复了，临时需求过去了，规则却很少有人回来收尾。
几年后，设备仍在正常运行，规则数量却越来越多。谁申请的、对应哪个系统、是否还需要、出了问题找谁确认，答案可能散在聊天记录和个人记忆里。最容易误解的地方，是把“规则没有报错”当成“访问边界仍然清楚”。企业真正要管理的不是一串技术配置，而是谁可以从哪里访问什么业务、为什么允许、允许多久，以及何时重新确认。
防火墙规则，本质上是业务权限
防火墙按照策略控制不同网络或主机之间的流量。规则里看起来是源地址、目标地址、服务和动作，背后对应的却是现实业务：某个分支访问总部系统、供应商远程维护设备、员工连接云服务，或者一套旧系统与新系统并行。
NIST 的防火墙指南强调，防火墙策略应根据组织风险、业务应用和需要允许的通信来建立，并在部署和变更后验证规则是否按预期工作。换句话说，规则不该只回答“技术上放行什么”，还要能回答“业务为什么需要”。
如果一条规则没有业务名称、责任人、申请原因和期限，即使配置语法完全正确，企业也很难判断它今天是否仍然合理。等到系统停用、供应商更换或网络重构时，IT 人员只能选择保留，避免误伤未知业务。
临时放行，最容易变成永久权限
规则积累通常不是某个人故意失管，而是一次次“先让业务恢复”。项目上线前临时开放测试服务，厂商维护时临时允许远程来源，新旧服务器迁移时两边同时放行，故障排查时又扩大访问范围。问题解决后，没有明确的到期时间和回收责任，临时规则就留了下来。
有些规则名称只写“测试”“临时”或一个人名；有些申请单只说明要开通，没有说明结束条件；还有些规则复制自旧设备，历史背景已经找不到。时间越久，规则与真实业务的对应关系越弱。
更稳妥的做法，是让每条新增或修改规则至少带上业务用途、系统负责人、来源与目标范围、所需服务、申请时间、到期或复查日期，以及关联的变更记录。设备里的注释可以简短，但外部台账要能把技术规则重新翻译成业务语言。
旧规则越多，企业越难判断真实边界
规则失去背景后，风险不只在于“可能多开了访问”。更现实的问题是维护变得迟钝：网络调整时没人敢删，故障排查时难以判断哪条规则在生效，安全事件发生时也要花更多时间确认哪些路径本来就被允许。
CISA 的网络加固指南建议使用路由访问控制、防火墙和分段等方式，把不同用途的设备与系统分开，并建立正常网络行为基线。对中小企业来说，这不一定意味着马上采购更复杂的设备，而是先让访问关系与业务区域对应起来：办公终端、服务器、访客、设备网络和外部维护，应当有清楚边界。
规则数量本身不是唯一标准。复杂企业确实可能需要很多规则，简单企业也可能因为一条过宽的放行留下问题。更重要的是，每条规则是否有明确用途，范围是否做到够用，变更是否留下记录，停用后是否有人负责回收。
清理规则不能靠一次批量删除
看到大量历史规则后，最危险的动作不是继续放着，也不是立刻批量删除，而是在不了解业务的情况下做不可回退的改变。短期没有流量，不一定代表规则永远不用；某些月度、季度或灾备场景可能很少出现。
NIST 指南建议定期复查防火墙策略，检查自上次复查以来的变更、变更者和背景，识别不再需要的规则，并通过审阅和测试确认规则集按预期工作。企业可以把复查拆成小批次：先补齐用途和负责人，再结合日志、系统清单与业务确认判断候选规则；随后在低风险窗口停用或收紧，保留配置备份与回退方案，最后验证相关业务。
复查频率没有适合所有企业的统一答案。关键系统变化多、外部维护频繁，复查就要更紧；业务稳定、规则少，也至少应在系统下线、供应商更换、网络改造和重大权限变化时触发检查。
建议企业先完成 4 项检查
- 建立最小规则台账。先从对外开放、跨网段访问、供应商远程和管理员入口开始，记录业务、责任人、范围、期限与变更编号。
- 标出临时与未知规则。临时规则必须有到期或复查日期；历史背景不清的规则单独列出，不在未确认时直接删除。
- 按业务分批复查。把规则按系统、部门或网络区域分组，结合日志和负责人确认实际用途，避免一次处理过多影响面。
- 用受控变更完成下线。先备份配置，选择低风险窗口，明确验证项与回退条件；停用后检查关键业务，再更新台账和网络图。
我的看法是，防火墙真正的价值不是“规则越多越安全”，而是访问边界始终可解释、可验证、可回收。先把业务用途和责任关系补回来，再逐步收紧历史权限，比追求一次性清空更稳。
如需梳理企业防火墙规则、网络分区与外部访问关系，可以联系煜企智能，从规则用途、责任人、范围、期限和变更记录开始确定复查优先级。
资料来源
- NIST，SP 800-41 Rev. 1 Guidelines on Firewalls and Firewall Policy：<https://csrc.nist.gov/pubs/sp/800/41/r1/final>
- CISA，Enhanced Visibility and Hardening Guidance for Communications Infrastructure：<https://www.cisa.gov/resources-tools/resources/enhanced-visibility-and-hardening-guidance-communications-infrastructure>