Как да оценим ефективността на конфигурацията на NGFW

Най-честата задача е да проверим колко ефективно е конфигуриран вашият междубен защитен екран. За това съществуват безплатни утилити и услуги от компании, които се занимават с NGFW.

Например, по-долу е видно, че компанията Palo Alto Networks предлага възможност директно от портала за поддръжка да стартирате анализа на статистиката на междубния защитен екран — SLR отчет или анализа на съответствието с най-добрите практики — BPA отчет. Това са безплатни онлайн инструменти, които можете да използвате без да инсталирате нищо.

СЪДЪРЖАНИЕ

Expedition (Migration Tool)
Policy Optimizer
Zero Trust
Ще кликнем на Unused
Ще кликнем на Unused App
Ще кликнем на No Apps Specified
А какво ще кажем за Machine Learning
UTD

Expedition (Migration Tool)

По-сложен вариант за проверка на вашите конфигурации е да изтеглите безплатната утилита Expedition (бивш Migration Tool). Тя се изтегля като виртуално устройство под VMware, не изисква настройки — просто трябва да изтеглите образ и да го разположите под хипервизора VMware, да го стартирате и да влезете в уеб интерфейса. Тази утилита изисква отделен разказ, курсът по нея отнема 5 дни, толкова много функции има в момента, включително Machine Learning и миграция на различни конфигурации на политики, NAT и обекти за различни производители на защитни стени. По темата за Machine Learning, ще напиша по-подробно по-долу в текста.

Policy Optimizer

И най-удобният вариант (според мен), за който днес ще говоря по-подробно — оптимизаторът на политики, вграден в самия интерфейс на Palo Alto Networks. За да го демонстрирам, инсталирах междубен защитен екран у дома и написах просто правило: permit any to any. Всъщност, понякога виждам такива правила дори в корпоративни мрежи. Разбира се, включих всички профили за сигурност на NGFW, както е видно на снимката:


На снимката по-долу е показан пример за моя домашен неподреден междубен защитен екран, където почти всички свързвания попадат в последното правило: AllowAll, което е видно от статистиката в колоната Hit Count.

Zero Trust

Съществува подход към сигурността, наречен Zero Trust. Какво означава това: трябва да разрешим на хората вътре в мрежата точно онези свързвания, от които имат нужда, и да забраним всичко останало. Тоест, трябва да добавим ясни правила за приложения, потребители, категории URL, типове файлове; да включим всички сигнатури IPS и антивирусна защита, да активираме пясъчника, DNS защита и да използваме IoC от наличните бази с информация за заплахи. В общи линии, задачите при конфигурирането на междубен защитен екран са доста на брой.

Между другото, минималният комплект необходимите настройки за Palo Alto Networks NGFW е описан в един от документите на SANS: Ръководство за конфигурация на сигурността на Palo Alto Networks — препоръчвам да започнете с него. И разбира се, има набор от най-добри практики за настройка на защитната стена от производителя: Най-добри практики.

И така, у дома ми стоеше защитна стена цяла седмица. Нека да видим какъв трафик имам в мрежата си:


Ако сортираме по брой сесии, най-много сесии генерира bittorent, след това идва SSL, след това QUIC. Това е статистика и за входящия, и за изходящия трафик: много външни сканирания на рутера ми. Различни приложения в мрежата ми — 150.

И така, всичко това беше пропуснато от едно правило. Нека да видим какво по въпроса казва Policy Optimizer. Ако сте гледали по-горе на екрана с интерфейса на правилата за сигурност, то вляво долу сте видели малък прозорец, който ми намеква, че съществуват правила, които могат да бъдат оптимизирани. Нека да кликнем там.

Какво показва Policy Optimizer:

• Кои политики не са били използвани изобщо, 30 дни, 90 дни. Това помага да се вземе решение да се премахнат напълно.
• Кои приложения в политиките са били указани, но такива приложения в трафика не са открити. Това позволява да се премахнат излишни приложения в разрешаващите правила.
• Кои политики разрешаваха всичко, но там наистина е имало приложения, които би било добре, според методологията на Zero Trust, да бъдат посочени явно.

Да кликнем на Unused.

За да покажа как работи това, добавих няколко правила и те до сега днес нито веднъж не са пропуснали пакет. Ето списъка им:

Възможно е с времето там да премине трафик и тогава те ще изчезнат от този списък. А ако те останат в този списък 90 дни — можете да вземете решение да ги изтриете. Накрая всяко правило предоставя възможност за хакера.

Съществува реален проблем при конфигурирането на защитната стена: нов служител разглежда правилата на защитната стена и ако те нямат коментари и не знае защо това правило е създадено, дали наистина е необходимо, дали може да бъде премахнато: може би човекът е в отпуск и след 30 дни трафикът от необходимия му сервиз отново ще тръгне. И точно тази функция му помага да вземе решение — не се използва от никого — премахнете!

Да кликнем на Unused App.

Кликваме в оптимизатора на Unused App и виждаме, че в основния прозорец се отваря интересна информация.

Виждаме, че съществуват три правила, при които броят на разрешените приложения и броят на реално преминалите по това правило приложения се различава.

Можем да кликнем и да видим списък с тези приложения и да сравним тези списъци.
Например, нека кликнем на бутона Compare за правилото Max.

Тук е видно, че са разрешени приложения facebook, instagram, telegram, vkontakte. Но реално трафикът е преминавал само през част от подприложенията. Тук трябва да разберем, че приложението facebook съдържа няколко подприложения.

Целият списък с приложения NGFW можете да видите на портала applipedia.paloaltonetworks.com и в самия интерфейс на защитната стена в раздела Objects->Applications, и в търсенето напишете името на приложението: facebook, резултатът ще бъде:

И така, част от тези подприложения NGFW са видени, а част не. Всъщност можете отделно да забранявате и разрешавате различни подфункции на facebook. Например, да разрешите виждането на съобщения, но да забраните чата или предаването на файлове. Съответно Policy Optimizer говори за това и можете да вземете решение: да разрешите не всички приложения на facebook, а само основните.

И така, разбрахме, че списъците са различни. Можете да направите така, че правилата да разрешават точно тези приложения, които реално са преминали през мрежата. За целта кликнете на бутона MatchUsage. Получава се така:

И можете също да добавите приложения, които смятате за нужни — бутона Add в лявата част на прозореца:

И след това това правило може да бъде приложено и тествано. Поздравления!

Ще кликнем No Apps Specified.

В този случай ще се отвори важен прозорец за осигуряване на безопасността.

Такива правила, при които не е посочено приложение на ниво L7 явно, вероятно има много в мрежата ви. И в моята мрежа има такова правило — напомням, че го създадох при първоначалната настройка, специално за да покажа как работи Policy Optimizer.

На картинката е видно, че правилото AllowAll е пропуснало за периода от 9 март до 17 март 220 гигабайта трафик, а в моята мрежа има общо 150 различни приложения. И това е още малко. Обикновено в мрежа на среден размер за корпоративни нужди има 200-300 различни приложения.

Едно правило позволява на цели 150 приложения. Обикновено това означава, че защитната стена е конфигурирана неправилно, тъй като обикновено в едно правило се допуска 1-10 приложения за различни цели. Нека видим какви приложения са това: натискаме бутона Сравни:

Най-удивителното за администратора в функцията Policy Optimizer е бутонът Match Usage - можете с едно кликване да създадете правило, в което да въведете всичките 150 приложения. Ръчно това би отнело доста дълго време. Броят задачи за администратора дори в моята мрежа от 10 устройства е огромен.

У дома имам 150 различни приложения, предаващи гигабайти трафик! А у вас колко са?

Какво става в мрежа от 100 устройства или 1000 или 10000? Видял съм защитни стени с 8000 правила и много се радвам, че сега администраторите разполагат с толкова удобни средства за автоматизация.

Част от приложенията, които модулът за анализ на приложения L7 в NGFW е видял и показал, няма да ви трябват в мрежата, затова просто ги изтривате от списъка с разрешителни правила или кликвате бутона Клониране (в главния интерфейс) и в едно правило разрешавате приложения, а в другото блокирате приложения, които не са необходими в мрежата ви. Често такова приложение става bittorent, steam, ultrasurf, tor, скрити тунели като tcp-over-dns и други.

Нека кликнем върху друго правило - какво се вижда:

Да, тук са приложенията, характерни за multicast. Трябва да ги разрешим, за да работи гледането на видео в мрежата. Кликваме Match Usage. Отлично! Благодаря на Policy Optimizer.

А какво ще кажете за Машинно обучение.

Сега е модерно да говорим за автоматизация. Това, което описах по-горе, е много полезно. Съществува още една възможност, за която трябва да спомена. Това е функционалността Machine Learning, вградена в утилитата Expedition, която вече беше спомената. В тази утилита има възможност за прехвърляне на правила от вашата стара защитна стена на друг производител. Има и възможност да се анализират съществуващите трафик регистри на Palo Alto Networks и да се предлагат кои правила да се напишат. Това е подобно на функционалността на Policy Optimizer, но в Expedition тя е още по-широка и ви се предлага вече списък с готови правила - просто трябва да ги одобрите.
За да тествате тази функционалност, съществува лабораторна работа - ние я наричаме тест драйв. Тестът може да бъде направен, като влезете в виртуалните междусетеви екрани, които служителите на Palo Alto Networks в Москва ще стартират по ваш сигнал.

Запитването може да бъде изпратено на адрес Russia@paloaltonetworks.com и в него да напишете: «Искам да направя UTD по Migration Process».

Всъщност, лабораторните работи под името Unified Test Drive (UTD) имат няколко варианта и всички те са достъпни дистанционно след запитване.

Само регистрирани потребители могат да участват в анкетата. Влезте, моля.

Искате ли някой да ви помогне да оптимизирате политиките на вашия междусетеви екран?

• Да

• Не

• Ще го направя сам

Все още никой не е гласувал. Няма въздържали се.

Източник: habr.com