Здравейте на всички! В продължение на тази на статията искам да ви разкажа по-подробно за функционалността, която предлага решението Sophos XG Firewall и да ви запозная с уеб интерфейса. Търговските статии и документи са добре, но винаги е интересно как изглежда решението на практика. Как е организирано всичко там? Нека започнем с прегледа.

В тази статия ще бъде показана първата част от функционалността на Sophos XG Firewall — това е „Мониторинг и аналитика“. Пълният преглед ще бъде в цикъл статии. Ще се движим, основавайки се на уеб интерфейса на Sophos XG Firewall и таблицата с лицензии.

Център за управление на безопасността

И ето, стартирахме браузера и отворихме уеб интерфейса на нашия NGFW, виждаме покана да въведем логин и парола за влизане в администрацията.

Въвеждаме логин и парола, които зададохме при първоначалната активизация и попадаме в нашия център за управление. Изглежда така.

Почти всеки от тези уиджети е кликаем. Можем да влезем в инцидента и да видим подробности.

Нека разгледаме всеки от блоковете и да започнем с блока System.

Блок System

Този блок показва състоянието на машината в реално време. Ако кликнете на всяка от иконите, ще преминем на страница с по-подробна информация за състоянието на системата.

Ако в системата има проблеми, този уиджет ще сигнализира за това, а на страницата с информация можете да видите причината.

Чрез преминаване по разделите можете да получите повече информация за различни аспекти на работата на защитната стена.

Блок Traffic insight

Този раздел ни дава представа за това какво се случва в нашата мрежа в момента и какво се е случвало през последните 24 часа. Топ 5 мрежови категории и приложения по трафик, мрежови атаки (срабатыване на IPS модула) и топ 5 блокирани приложения.

Също така, отделно трябва да се подчертае разделът Cloud Applications. В него можем да видим наличието в локалната мрежа на приложения, които използват облачни услуги. Общият им брой, входящ и изходящ трафик. Ако кликнете на този уиджет, ще влезем на страница с информация за облачните приложения, където можем по-подробно да разгледаме кои облачни приложения са в мрежата, кой ги използва и информация за трафика.

Блок User & device insights

В този блок е показана информация за потребителите. Горният ред ни предоставя информация за заразените компютри на потребителите, събирайки информация от антивируса на Sophos и предавайки я на Sophos XG Firewall. На базата на тази информация Firewall може, при заразяване, да изключи компютъра на потребителя от локалната мрежа или от сегмента на мрежата на L2 ниво, блокирайки всички връзки с него. По-подробно за Security Heartbeat е било в тази статия. Следващите два реда — това са контрол на приложенията и облачна песочница. Тъй като това е отделна функционалност, в тази статия те няма да бъдат разглеждани.

Важно е да обърнем внимание на два долни виджета. Това са ATP (Advanced Threat Protection) и UTQ (User Threat Quotient).

Модулът ATP блокира връзки с C&C, управляващи сървъри на ботнет мрежи. Ако устройство в локалната ви мрежа попадне в ботнет мрежа, този модул ще уведоми за това и няма да позволи свързване с управляващия сървър. Изглежда по следния начин

Модулът UTQ присвоява на всеки потребител индекс за сигурност. Колкото повече потребителят се опитва да посети забранени сайтове или да стартира забранени приложения, толкова по-висок става неговият рейтинг. Съдейки по тези данни, може предварително да се проведе обучение за такива потребители, без да се чака, докато накрая компютърът им бъде заразен с вреден софтуер. Изглежда по следния начин

Следва раздел с обща информация за активните фаерволни правила и горещи отчети, които може бързо да се изтеглят във формат pdf

Преминаваме към следващия раздел от менюто — Current activities

Current activities

Започваме прегледа с таба Live users. На тази страница можем да видим кой от потребителите е свързан в момента с Sophos XG Firewall, методът на автентикация, IP адресът на машината, времето на свързване и обема на трафика.

Live connections

На този таб се показват активни сесии в реално време. Тази таблица може да се филтрира по приложения, потребители и IP адреси на клиентските машини.

IPsec connections

На този таб се показва информация за активните IPsec VPN връзки

Табът Remote users

На таба Remote users се намира информация за отдалечени потребители, които са се свързали чрез SSL VPN

Също така, на този таб можете да видите трафика по потребители в реално време и принудително да изключите всеки потребител.

Пропускаме раздела Reports, тъй като системата за докладване в този продукт е много обширна и изисква отделна статия.

Диагностика

Веднага се отваря страница с различни инструменти за откриване на проблеми. Те включват Ping, Traceroute, Name lookup, Route lookup.

След това идва раздел с системни графики за натоварването на хардуерните компоненти и портовете в реално време.

Системни графики

Следва раздел, където можете да проверите категорията на уеб ресурса.

Проверка на категорията на URL

Следващият раздел Packet capture — това е, по същество, вграден tcpdump в уеб интерфейса. Можете също така да задавате филтри.

Заснемане на пакети

От интерес е, че пакетите се преобразуват в таблица, където можете да включвате и изключвате допълнителни колони с информация. Тази функционалност е много удобна за откриване на мрежови проблеми, например — можете бързо да разберете какви правила за филтриране са приложени към реалния трафик.

На раздела Connection List можете да видите всички съществуващи връзки в реално време и информация за тях.

Списък с връзки

Заключение

С това приключваме първата част от прегледа. Разгледахме само много малка част от наличната функционалност и изобщо не засегнахме защитните модули. В следващата статия ще разгледаме вградената функционалност за отчитане и правилата на защитната стена, техните видове и назначения.

Благодаря за отделеното време.

Ако имате въпроси относно търговската версия на XG Firewall, можете да се свържете с нас — компанията Фактор груп, дистрибутор на Sophos. Просто напишете в свободна форма на sophos@fgts.ru.

Източник: habr.com