一个审计人员执行了一个防火墙升级项目的检查，发现几个端口不是为了业务目的开放的。根据判断它是为了测试服务器而开放的，并且不会被在使用。对于这个情形，什么是最佳推荐的控制？
A.防火墙规则的改变应该在适当的文档被改变后进行。
B.测试服务器永远不要通过产品墙连接。
C.信息管理人员应该雇佣第三方检查防火墙规则并实施季度入侵测试。
D.安全管理员应该执行定期检查去校验防火墙规则
答案与解析：D
对于企业最好和最有效的校验防火墙规则是否
正确的
方法是执行定期自我检查。虽然文档化防火墙规则的改变是重要的，但是仅有测试结果能证明证这些防火墙控制规则是发挥了适当作用的。只要测试应用程序有适当的安全控制，在产品防火墙上执行web应用程序测试的风险是不重要的。 虽然第三方检查能提供防火墙规则正确的高等级的保证，但是成本和协调问题使得这个方法成为可行程度较低的选项。