any any allow видимо)

когда безопасники апрувят с сорса 0.0.0.0/0 )

Доступы не должны согласовываться. Доступы должны предоставляться там, где они нужны, и отбираться в ту секунду, когда они становятся не нужны.

Ага, зависит от. В моё случае был просто корпорат и стандартные юзерские сервисы типа шар, почты и т.д.

и как реализовать данный механизм и аудит текущих доступов?

Хорошо так подкинул дровишек в костёр!  😁

По PCI DSS пересмотр ( внтуренний аудит ) текущих доступов не реже раза в три месяца. на практике перед аудитом )

Для этого существуют разные подходы и решения. Общее свойство этих подходов – наличие некоего хранилища фактов о том, какие системы живут в каких адресах/сегментах, наличие некоего источника требований к взаимному сетевому доступу этих систем, наличие некоего процесса, которые конфигурирует сетевые ограничения исходя из этого хранилища фактов и требований, и наличие строго ограниченных механизмов записи в это хранилище фактов и изменения требований. Детали имплементации зависят от среды 🙂

“на практике перед аудитом” немного опасно, могут попросить эвиденс, что это делалось раз в квартал весь предыдущий год 🙂

Короче нужен "некий функционал"... :D

это теоритические аспекты, а с помощью какого стека ПО это реализуется практически на мультивендорной сети?

Я видел разные имплементации, которые в разной степени аккуратности реализуют сказанное. Но в 100% систем организованных как написано в статье на Хабре я находил висящие месяцами открытые порты, которые не должны были быть открыты, и куда могли постучаться СОВСЕМ не те, кто ожидалось

Что совершенно предсказуемо, поскольку если доступы через пень-колоду открываются, они будут так же медленно и печально отзываться. Даже медленнее, потому что ни над кем не висит стейкхолдер, у которого что-то не работает

хорошо, а какое ПО/практические подходы используете лично вы и можете порекомендовать для решения данной проблемы(формирование,согласование и поддержание в актуальном состоянии сетевых доступов)?

puncher.y-t.ru :)

от слова punch?

от слова дырка

Кажется, ты спалил внутренний url :D

надеюсь там все порты закрыты

возможно, это было преднамеренно