Estoy de acuerdo con los respondedores anteriores: uno de los pasos obvios es realizar escaneos de puertos y escaneos de vulnerabilidad desde los lados externos de los cortafuegos. Hacerlo no es disparar una bala de plata (como se ha señalado, un atacante de habilidad incluso modesta podría establecer una regla de tráfico entrante que solo responderá a las conexiones de los ips especificados de un tipo malo).
Además de eso, un enfoque importante es hacer el muestreo y la inspección manual. En otras palabras, de los hosts / firewalls que necesita para asegurarse de aplicar las reglas correctamente, seleccione un subconjunto (preferiblemente de manera aleatoria / pseudoaleatoria), conéctese a ellos e inspeccione los conjuntos de reglas. (Y más allá de eso, si un atacante ya es dueño de la casilla hasta el punto en que pueda ocultar una regla / desviación maliciosa de la inspección directa, ya está detrás de la bola ocho).
Por supuesto, el muestreo no es una solución mágica, al igual que la vulnerabilidad & Los escaneos de configuración no son soluciones mágicas. Cuantas más casillas marque contra el número que necesita aplicar correctamente las reglas, más útil será el método. Pero en realidad es una situación que requiere múltiples enfoques para verificar que las reglas de firewall correctas estén realmente vigentes.