Как да оцените ефективността на настройка на NGFW

Най-честата задача е да проверите колко ефективно е конфигурирана вашата защитна стена. За да направите това, има безплатни помощни програми и услуги от компании, които се занимават с NGFW.

Например, можете да видите по-долу, че Palo Alto Networks има възможност директно от портал за поддръжка изпълнете анализ на статистиката на защитната стена - SLR доклад или анализ на съответствието с най-добрите практики - BPA доклад. Това са безплатни онлайн помощни програми, които можете да използвате, без да инсталирате нищо.

СЪДЪРЖАНИЕ

Експедиция (инструмент за миграция)
Оптимизатор на правилата
Нулево доверие
Кликнете върху Неизползвано
Кликнете върху Неизползвано приложение
Щракнете върху Няма указани приложения
Какво ще кажете за машинното обучение?
UTD

Експедиция (инструмент за миграция)

По-сложна опция за проверка на вашите настройки е да изтеглите безплатна помощна програма Експедиция (по-рано инструмент за миграция). Изтегля се като виртуално устройство за VMware, не са необходими настройки с него - трябва да изтеглите изображението и да го разположите под хипервайзора на VMware, да го стартирате и да отидете на уеб интерфейса. Тази помощна програма изисква отделна история, само курсът по нея отнема 5 дни, сега има толкова много функции, включително машинно обучение и миграция на различни конфигурации на политики, NAT и обекти за различни производители на защитна стена. Ще напиша повече за Machine Learning по-долу в текста.

Оптимизатор на правилата

И най-удобната опция (IMHO), за която ще ви разкажа по-подробно днес, е оптимизаторът на правилата, вграден в самия интерфейс на Palo Alto Networks. За да го демонстрирам, инсталирах защитна стена у дома и написах просто правило: разреши всеки на всеки. По принцип понякога виждам такива правила дори в корпоративните мрежи. Естествено, активирах всички профили за сигурност на NGFW, както можете да видите на екранната снимка:


Екранната снимка по-долу показва пример за моята домашна неконфигурирана защитна стена, където почти всички връзки попадат в последното правило: AllowAll, както може да се види от статистиката в колоната Hit Count.

Нулево доверие

Има един подход към сигурността т.нар Нулево доверие. Какво означава това: трябва да позволим на хората в мрежата точно тези връзки, от които се нуждаят, и да откажем всичко останало. Това означава, че трябва да добавим ясни правила за приложения, потребители, URL категории, типове файлове; активирайте всички IPS и антивирусни сигнатури, активирайте sandboxing, DNS защита, използвайте IoC от наличните бази данни Threat Intelligence. Като цяло има приличен брой задачи при настройка на защитна стена.

Между другото, минималният набор от необходими настройки за Palo Alto Networks NGFW е описан в един от документите на SANS: Бенчмарк за конфигуриране на сигурността на Palo Alto Networks - Препоръчвам да започнете с него. И разбира се, има набор от най-добри практики за настройка на защитна стена от производителя: Най-добра практика.

И така, имах защитна стена у дома за една седмица. Да видим какъв трафик има в моята мрежа:


Ако сортирате по броя на сесиите, повечето от тях са създадени от bittorent, след това идва SSL, след това QUIC. Това са статистически данни както за входящия, така и за изходящия трафик: има много външни сканирания на моя рутер. В моята мрежа има 150 различни приложения.

И така, всичко това беше пропуснато от едно правило. Нека сега да видим какво казва Policy Optimizer за това. Ако погледнахте по-горе екранната снимка на интерфейса с правила за сигурност, тогава долу вляво видяхте малък прозорец, който ми подсказва, че има правила, които могат да бъдат оптимизирани. Да щракнем там.

Какво показва оптимизаторът на правилата:

• Кои полици изобщо не са използвани, 30 дни, 90 дни. Това помага да вземете решение за пълното им премахване.
• Какви приложения бяха посочени в правилата, но не бяха открити такива в трафика. Това ви позволява да премахнете ненужните приложения в правилата за разрешаване.
• Кои политики позволяваха всичко, но всъщност имаше приложения, които би било хубаво да се посочат изрично според методологията Zero Trust.

Нека щракнем върху Неизползвано.

За да покажа как работи, добавих няколко правила и досега не са пропуснали нито един пакет днес. Ето техния списък:

Може би с течение на времето там ще има трафик и тогава те ще изчезнат от този списък. И ако те са в този списък за 90 дни, тогава можете да решите да изтриете тези правила. В крайна сметка всяко правило предоставя възможност на хакер.

Има реален проблем при конфигурирането на защитна стена: идва нов служител, гледа правилата на защитната стена, ако няма коментари и не знае защо е създадено това правило, дали наистина е необходимо, дали може бъде изтрит: внезапно лицето е в отпуск и след това В рамките на 30 дни трафикът отново ще тече от услугата, от която се нуждае. И точно тази функция му помага да вземе решение - никой не я използва - изтрийте я!

Кликнете върху Неизползвано приложение.

Щракваме върху Неизползвано приложение в оптимизатора и виждаме, че в главния прозорец се отваря интересна информация.

Виждаме, че има три правила, където броят на разрешените приложения и броят на приложенията, които действително са преминали това правило, са различни.

Можем да щракнете и да видим списък с тези приложения и да сравним тези списъци.
Например щракнете върху бутона Сравнение за правилото за макс.

Тук можете да видите, че приложенията facebook, instagram, telegram, vkontakte са разрешени. Но в действителност трафикът отиваше само към някои от подприложенията. Тук трябва да разберете, че приложението facebook съдържа няколко подприложения.

Целият списък с приложения на NGFW може да се види на портала applipedia.paloaltonetworks.com и в самия интерфейс на защитната стена, в секцията Objects->Applications и в търсенето напишете името на приложението: facebook, ще получите следния резултат:

И така, някои от тези подприложения бяха видяни от NGFW, но някои не. Всъщност можете отделно да забранявате и разрешавате различни подфункции на Facebook. Например, разрешете преглед на съобщения, но забранете чат или прехвърляне на файлове. Съответно Policy Optimizer говори за това и можете да вземете решение: да не разрешавате всички Facebook приложения, а само основните.

И така, разбрахме, че списъците са различни. Можете да се уверите, че правилата позволяват само онези приложения, които действително пътуват в мрежата. За да направите това, щракнете върху бутона MatchUsage. Получава се така:

Можете също така да добавяте приложения, които смятате за необходими - бутонът Добавяне в лявата част на прозореца:

И тогава това правило може да се приложи и тества. Честито!

Щракнете върху Няма указани приложения.

В този случай ще се отвори важен прозорец за сигурност.

Най-вероятно има много такива правила във вашата мрежа, където приложението на ниво L7 не е изрично посочено. И в моята мрежа има такова правило - нека ви напомня, че го направих по време на първоначалната настройка, специално за да покажа как работи Policy Optimizer.

Картината показва, че правилото AllowAll разреши 9 гигабайта трафик в периода от 17 март до 220 март, което е 150 различни приложения в моята мрежа. И това не е достатъчно. Обикновено средно голяма корпоративна мрежа има 200-300 различни приложения.

И така, едно правило позволява до 150 приложения. Обикновено това означава, че защитната стена не е конфигурирана правилно, защото обикновено едно правило позволява 1-10 приложения за различни цели. Нека да видим какви са тези приложения: щракнете върху бутона Сравнение:

Най-прекрасното нещо за администратора във функцията Policy Optimizer е бутонът Match Usage - можете да създадете правило с едно щракване, където ще въведете всичките 150 приложения в правилото. Правенето на това ръчно ще отнеме доста време. Броят на задачите, върху които трябва да работи администратор, дори в моята мрежа от 10 устройства, е огромен.

Имам 150 различни приложения, работещи у дома, прехвърляйки гигабайти трафик! И колко имаш?

Но какво се случва в мрежа от 100 устройства или 1000 или 10000 8000? Виждал съм защитни стени с XNUMX правила и много се радвам, че администраторите вече имат толкова удобни инструменти за автоматизация.

Някои от приложенията, които модулът за анализ на приложения L7 в NGFW видя и показа, няма да ви трябват в мрежата, така че просто ги премахвате от списъка с разрешаващи правила или клонирате правилата с помощта на бутона Клониране (в основния интерфейс) и разрешете ги в едно правило за приложение, а в Ще блокирате други приложения, тъй като те определено не са необходими във вашата мрежа. Такива приложения често включват bittorent, steam, ultrasurf, tor, скрити тунели като tcp-over-dns и други.

Е, нека щракнем върху друго правило и да видим какво можете да видите там:

Да, има приложения, типични за мултикаст. Трябва да им позволим онлайн гледането на видео да работи. Щракнете върху Използване на съответствие. Страхотен! Благодаря, Оптимизатор на правила.

Какво ще кажете за машинното обучение?

Сега е модерно да се говори за автоматизация. Излезе това, което описах - много помага. Има още една възможност, за която трябва да говоря. Това е функционалността за машинно обучение, вградена в помощната програма Expedition, която вече беше спомената по-горе. В тази помощна програма е възможно да прехвърлите правила от старата си защитна стена от друг производител. Има и възможност за анализиране на съществуващи регистрационни файлове за трафик на Palo Alto Networks и предлагане на правила за писане. Това е подобно на функционалността на Policy Optimizer, но в Expedition е още по-разширена и ви се предлага списък с готови правила - просто трябва да ги одобрите.
За да се тества тази функционалност, има лабораторна работа - наричаме я тест драйв. Този тест може да се извърши чрез влизане във виртуални защитни стени, които служителите на офиса на Palo Alto Networks в Москва ще стартират по ваше желание.

Заявката може да бъде изпратена до [имейл защитен] и в заявката напишете: „Искам да направя UTD за процеса на миграция.“

Всъщност лабораторната работа, наречена Unified Test Drive (UTD), има няколко опции и всичките достъпни дистанционно след заявка.

В анкетата могат да участват само регистрирани потребители. Впиши се, Моля те.

Искате ли някой да ви помогне да оптимизирате правилата на вашата защитна стена?

• Да

• Не

• Ще направя всичко сам

Все още никой не е гласувал. Няма въздържали се.

Източник: www.habr.com