Как да оцените ефективността на конфигурацията на NGFW

Най-повтарящата се задача е да се провери колко ефективно е конфигуриран вашият защитен екран. За целта съществуват безплатни инструменти и услуги от компании, които се занимават с NGFW.

Например, по-долу можете да видите, че компанията Palo Alto Networks предлага възможност директно от портала за поддръжка да стартирате анализ на статистиката на защитния екран - SLR отчет или анализ на съответствието с най-добрите практики - BPA отчет. Това са безплатни онлайн инструменти, които можете да използвате без инсталиране на нищо.

СЪДЪРЖАНИЕ

Expedition (Migration Tool)
Policy Optimizer
Zero Trust
Кликнете на Unused
Кликнете на Unused App
Кликнете No Apps Specified
А какво ще кажете за Machine Learning
UTD

Expedition (Migration Tool)

По-сложен вариант за проверка на вашите настройки е да изтеглите безплатната утилита Expedition (бивш Migration Tool). Тя се изтегля като Virtual Appliance под VMware, не изисква настройки - необходимо е само да изтеглите образа и да го разгорите под хипервизора VMware, да стартирате и да влезете в уеб интерфейса. Тази утилита изисква отделен разказ, курсът по нея отнема 5 дни, толкова много функции вече предлага, включително Machine Learning и миграция на различни конфигурации на политики, NAT и обекти за различни производители на защити. За Machine Learning ще напиша повече по-долу.

Policy Optimizer

И най-удобният вариант (по мое скромно мнение), за който днес ще разкажа повече - оптимизаторът на политики, вграден в самия интерфейс на Palo Alto Networks. За да го демонстрирам, инсталирах защитен екран у дома и зададох просто правило: permit any to any. В принцип тази правила понякога виждам дори в корпоративни мрежи. Естествено, активирах всички профили за сигурност на NGFW, както е показано на екрана:


На екрана по-долу е показан пример на моя домашен незконфигуриран защитен екран, където почти всички съединения попадат в последното правило: AllowAll, което е видно от статистиката в колонката Hit Count.

Zero Trust

Съществува подход към сигурността, наречен Zero Trust. Какво означава това: трябва да разрешим на хората вътре в мрежата точно тези съединения, от които се нуждаят, и да забраним всичко останало. Тоест, трябва да добавим ясни правила по приложения, потребители, категории URL, типове файлове; да включим всички сигнали за IPS и антивирусна защита, да активираме пясъчната кутия, DNS защитата и да използваме IoC от наличните бази за Threat Intelligence. Общо взето, задачите при конфигурирането на защитен екран са значителни.

Между прочим, минималният комплект необходими настройки за Palo Alto Networks NGFW е описан в един от документите на SANS: Бенчмарк за конфигурация на сигурността на Palo Alto Networks — препоръчвам да започнете с него. И разбира се, има набор от най-добри практики за настройка на защитната стена от производителя: Най-добра практика.

И така, защитната стена стоя у дома седмица. Нека да видим какъв трафик има в моята мрежа:


Ако подредим по брой сесии, най-много се създават от bittorent, след това идва SSL, а след това QUIC. Това е статистика за входящия и изходящия трафик: има много външни сканирания на моя рутер. Различни приложения в моята мрежа — 150.

И така, всичко това беше пропуснато от едно правило. Нека сега да видим какво казва Policy Optimizer на тази тема. Ако сте гледали по-горе скриншота на интерфейса с правилата за сигурност, сте видели малкото прозорче в ляво долу, което ми намеква, че съществуват правила, които могат да се оптимизират. Нека да кликнем там.

Какво показва Policy Optimizer:

• Кои политики не са били използвани изобщо, 30 дни, 90 дни. Това помага да се вземе решение да ги премахнете изцяло.
• Кои приложения в политиките са били посочени, но такива приложения не са открити в трафика. Това позволява да се премахнат ненужните приложения от разрешаващите правила.
• Кои политики разрешават всичко, но там наистина минават приложения, които би било добре да бъдат посочени явно според методиката Zero Trust.

Нека кликнем на Unused.

За да покажа как работи, добавих няколко правила и засега те нито веднъж днес не са пропуснали нито един пакет. Ето списъкът им:

Възможно е с времето там да премине трафик и тогава те да изчезнат от този списък. А ако те останат в този списък 90 дни — можете да вземете решение да изтриете тези правила. Все пак, всяко правило предоставя възможност за хакер.

Съществува реален проблем при конфигурирането на защитната стена: нов служител, поглежда в правилата за защитната стена, и ако няма никакви коментари и не знае защо това правило е създадено, дали е наистина нужно, дали може да бъде премахнато: изведнъж човекът е в отпуск и след 30 дни трафикът от нужната му услуга отново ще тръгне. И точно тази функция му помага да вземе решение — ако никой не я използва — да я изтриете!

Нека кликнем на Unused App.

Кликваме в оптимизатора на Unused App и виждаме, че в главния прозорец се отваря интересна информация.

Виждаме, че има три правила, при които броят на разрешените приложения и броят на реално преминалите по това правило приложения се различават.

Можем да кликнем и да видим списъка с тези приложения и да сравним тези списъци.
Например, да кликнем на бутона Compare за правилото Max.

Тук се вижда, че са разрешени приложения facebook, instagram, telegram, vkontakte. Но реално трафикът е минавал само през част от подприложенията. Тук трябва да разберем, че приложението facebook съдържа няколко подприложения.

Целият списък на приложенията NGFW може да се види на портала applipedia.paloaltonetworks.com и в самия интерфейс на защитната стена в раздела Objects->Applications. В търсенето напишете името на приложението: facebook, ще получите такъв резултат:

Така че, част от тези подприложения NGFW са видяни, а част не. Всъщност можете отделно да забранявате и разрешавате различни подфункции на facebook. Например, да разрешавате четенето на съобщения, но да забранявате чата или трансфера на файлове. Съответно Policy Optimizer говори за това и можете да вземете решение: да разрешите не всички приложения на facebook, а само основните.

Така че, разбрахме, че списъците са различни. Можете да настроите правилата да разрешават точно тези приложения, които реално преминават в мрежата. За целта кликнете на бутона MatchUsage. Получава се така:

И можете да добавите приложения, които считате за нужни — бутона Add в лявата част на прозореца:

След това това правило може да бъде приложено и тествано. Поздравления!

Кликнете на No Apps Specified.

В този случай ще се отвори важен прозорец за осигуряване на безопасност.

Такива правила, при които не е посочено приложението от ниво L7, вероятно има много в вашата мрежа. И в моята мрежа има такова правило — напомням, че го създадох при първоначалната настройка, специално за да покажа как работи Policy Optimizer.

На картинката се вижда, че правилото AllowAll е пропуснало в интервала от 9 март до 17 март 220 гигабайта трафик, а в моята мрежа има общо 150 различни приложения. И това още е малко. Обикновено в корпоративна мрежа от среден размер има 200-300 различни приложения.

И така, едно правило пропуска 150 приложения. Обикновено това означава, че защитната стена не е конфигурирана правилно, защото обикновено в едно правило се допускат 1-10 приложения за различни цели. Нека видим какви приложения са това: кликнете върху бутона Compare:

Най-прекрасното за администратора в функцията Policy Optimizer е бутона Match Usage — с един клик можете да създадете правило, в което да въведете всички 150 приложения. Ръчно, това би отнело доста дълго време. Броят на задачите за работа на администратора дори в моята мрежа от 10 устройства е огромен.

У дома ми работят 150 различни приложения, които предават гигабайти трафик! А колко имате вие?

Какво става в мрежа от 100 устройства или 1000 или 10000? Виждал съм защитни стени с 8000 правила и съм много щастлив, че сега администраторите разполагат с такива удобни средства за автоматизация.

Част от приложенията, които модулът за анализ на приложения L7 в NGFW е показал, вероятно няма да ви трябват в мрежата, затова просто можете да ги изтриете от списъка с разрешителни правила или да клонирате правилата с бутона Clone (в основния интерфейс) и в едно правило да разрешите приложения, а в друго да блокирате приложения, които точно не са нужни в мрежата ви. Често приложения с подобни характеристики стават bittorrent, steam, ultrasurf, tor, скрити тунели тип tcp-over-dns и други.

И сега нека кликнем в друго правило — какво виждаме:

Да, тук са приложения, характерни за multicast. Трябва да ги разрешим, за да можем да гледаме видео по мрежата. Кликнете върху Match Usage. Отлично! Благодаря ви, Policy Optimizer.

А какво ще кажете за Machine Learning.

В момента е модерно да се говори за автоматизация. Това, което описах по-горе, много помага. Съществува и друга функция, за която трябва да разкажа. Това е функционалността на Machine Learning, вградена в инструмента Expedition, който вече споменахме. В този инструмент има възможност да прехвърлите правила от вашата стара защитна стена на друг производител. Освен това, има и възможност да анализирате съществуващите журнали на трафика на Palo Alto Networks и да предлагате какви правила да напишете. Това е подобно на функционалността на Policy Optimizer, но в Expedition е още по-разширено и ви се предлага списък с готови правила — просто трябва да ги одобрите.
За да тествате тази функция, съществува лабораторна работа — наричаме я тест драйв. Този тест може да се направи, като влезете в виртуалните междуредови екрани, които служителите на Palo Alto Networks в Москва ще стартират по ваш искане.

Запитването може да се изпрати на адрес Russia@paloaltonetworks.com и в съобщението да се напише: «Искам да направя UTD по Migration Process».

Всъщност, лабораторните работи с име Unified Test Drive (UTD) имат няколко варианта и всички те са достъпни дистанционно след отправяне на искане.

Само регистрирани потребители могат да участват в анкетата. Влезте, моля.

Искате ли някой да ви помогне да оптимизирате политиките на вашия междусетов екран?

• Да

• Не

• Аз ще направя всичко сам

Никой все още не е гласувал. Няма въздържали се.

Източник: habr.com