Verifierade brandväggsregler efter position snarare än förekomst och läste den numrerade regellistan och den aktiva paketfilterkedjan, eftersom en regel som finns inte är detsamma som en regel som något paket når.

Situation. En statuslistning från brandväggen visar en uppsättning regler. Ett paketfilter utvärderar en ordnad lista och stannar vid första träffen. Det är olika saker, och skillnaden är osynlig i varje verktyg som skriver ut en sammanfattning — och det är så värden kunde gå i ett år med en hastighetsbegränsning som inget paket någonsin nådde fram till, placerad under en bredare regel som matchade först.

Uppgift. Brandväggsverifieringen måste läsa position i stället för medlemskap, eftersom det redan hade visats att närvaro inte bevisar någonting.

Handling. Kontrollerna läser nu den numrerade regellistan och den levande filterkedjan och verifierar mot ordningen. Det finns exakt en regel per port och alltid med ett protokoll, eftersom en regel utan protokoll i tysthet vidgar attackytan. SSH‑porten har en hastighetsbegränsning och aldrig en allow‑regel bredvid sig, eftersom en allow‑regel ovanför en begränsning är just den skuggning som upptäcktes. Den deklarerade publika ytan är en kort lista med fem portar, som verifieras som helhet snarare än en och en, så att en port som dyker upp utan att vara deklarerad ger ett fel i stället för att bara noteras. Säkerhetsrapporten återger reglerna i matchningsordning med en varning högst upp i avsnittet som förklarar hur den ska läsas, eftersom nästa person som öppnar filen annars kommer att läsa den som en uppsättning.

Resultat. Brandväggens säkerhetsläge kontrolleras nu så som ett paket upplever det. Det mest användbara utfallet var inte kontrollen utan det den avslöjade om rapporteringen som föregick den: varje inblandat verktyg hade skrivit ut hastighetsbegränsningen i ett år, korrekt, och inget av dem hade fått den enda fråga som spelade någon roll.