NGFW টিউনিংয়ের কার্যকারিতা কীভাবে মূল্যায়ন করবেন

সবচেয়ে সাধারণ কাজ হল আপনার ফায়ারওয়াল কতটা ভালোভাবে কনফিগার করা হয়েছে তা পরীক্ষা করা। এটি করার জন্য, এনজিএফডব্লিউ-এর সাথে ডিল করে এমন কোম্পানিগুলি থেকে বিনামূল্যে ইউটিলিটি এবং পরিষেবা রয়েছে৷

উদাহরণস্বরূপ, নীচে আপনি দেখতে পারেন যে Palo Alto নেটওয়ার্ক থেকে সরাসরি করার ক্ষমতা রয়েছে সমর্থন পোর্টাল ফায়ারওয়াল পরিসংখ্যান বিশ্লেষণ চালান - SLR রিপোর্ট বা সেরা অনুশীলন সম্মতি বিশ্লেষণ - BPA রিপোর্ট। এগুলি বিনামূল্যের অনলাইন ইউটিলিটি যা আপনি কিছু ইনস্টল না করেই ব্যবহার করতে পারেন৷

সামগ্রীর তালিকা

অভিযান (মাইগ্রেশন টুল)
পলিসি অপ্টিমাইজার
জিরো ট্রাস্ট
Unused এ ক্লিক করুন
Unused App এ ক্লিক করুন
কোনো অ্যাপ নির্দিষ্ট করা হয়নি ক্লিক করুন
মেশিন লার্নিং সম্পর্কে কি?
ইউটিডি

অভিযান (মাইগ্রেশন টুল)

আপনার সেটিংস চেক করার জন্য একটি আরও জটিল বিকল্প হল একটি বিনামূল্যের ইউটিলিটি ডাউনলোড করা অভিযান (প্রাক্তন মাইগ্রেশন টুল)। এটি ভিএমওয়্যারের জন্য ভার্চুয়াল অ্যাপ্লায়েন্স হিসাবে ডাউনলোড করা হয়েছে, এটির সাথে কোনও সেটিংসের প্রয়োজন নেই - আপনাকে ছবিটি ডাউনলোড করতে হবে এবং এটিকে ভিএমওয়্যার হাইপারভাইজারের অধীনে স্থাপন করতে হবে, এটি চালাতে হবে এবং ওয়েব ইন্টারফেসে যেতে হবে। এই ইউটিলিটির জন্য একটি আলাদা গল্প প্রয়োজন, শুধুমাত্র এটির কোর্সটি 5 দিন সময় নেয়, মেশিন লার্নিং এবং বিভিন্ন ফায়ারওয়াল নির্মাতাদের জন্য বিভিন্ন কনফিগারেশন নীতি, NAT এবং অবজেক্টগুলির স্থানান্তর সহ এখন অনেকগুলি ফাংশন রয়েছে৷ মেশিন লার্নিং সম্পর্কে, আমি আরও পরে লেখায় লিখব।

পলিসি অপ্টিমাইজার

এবং সবচেয়ে সুবিধাজনক বিকল্প (IMHO), যা আমি আজ আরও বিশদে আলোচনা করব, তা হল পলিসি অপ্টিমাইজার যা পালো অল্টো নেটওয়ার্ক ইন্টারফেসে তৈরি করা হয়েছে। এটি প্রদর্শন করার জন্য, আমি আমার বাড়িতে একটি ফায়ারওয়াল ইনস্টল করেছি এবং একটি সহজ নিয়ম লিখেছি: যেকোনোকে অনুমতি দিন। নীতিগতভাবে, আমি কখনও কখনও কর্পোরেট নেটওয়ার্কগুলিতেও এই জাতীয় নিয়ম দেখতে পাই। স্বাভাবিকভাবেই, আমি সমস্ত NGFW নিরাপত্তা প্রোফাইল সক্ষম করেছি, আপনি স্ক্রিনশটে দেখতে পাচ্ছেন:


নীচের স্ক্রিনশটটি আমার বাড়ির আনকনফিগার করা ফায়ারওয়ালের একটি উদাহরণ দেখায়, যেখানে প্রায় সমস্ত সংযোগ শেষ নিয়মের মধ্যে পড়ে: AllowAll, হিট কাউন্ট কলামের পরিসংখ্যান থেকে দেখা যায়।

জিরো ট্রাস্ট

নিরাপত্তা বলা হয় একটি পদ্ধতি আছে জিরো ট্রাস্ট. এর অর্থ কী: আমাদের অবশ্যই নেটওয়ার্কের মধ্যে থাকা লোকেদের তাদের প্রয়োজনীয় সংযোগগুলিকে অনুমতি দিতে হবে এবং অন্য সবকিছু নিষিদ্ধ করতে হবে। অর্থাৎ, আমাদের অ্যাপ্লিকেশন, ব্যবহারকারী, URL বিভাগ, ফাইলের ধরনগুলির জন্য স্পষ্ট নিয়ম যুক্ত করতে হবে; সমস্ত আইপিএস এবং অ্যান্টিভাইরাস স্বাক্ষর সক্ষম করুন, স্যান্ডবক্স সক্ষম করুন, ডিএনএস সুরক্ষা, উপলব্ধ থ্রেট ইন্টেলিজেন্স ডেটাবেস থেকে আইওসি ব্যবহার করুন৷ সাধারণভাবে, ফায়ারওয়াল সেট আপ করার সময় একটি শালীন পরিমাণ কাজ আছে।

যাইহোক, Palo Alto Networks NGFW-এর জন্য প্রয়োজনীয় সেটিংসের ন্যূনতম সেটটি SANS নথিগুলির একটিতে বর্ণনা করা হয়েছে: পালো অল্টো নেটওয়ার্ক সিকিউরিটি কনফিগারেশন বেঞ্চমার্ক আমি এটি দিয়ে শুরু করার পরামর্শ দিই। এবং অবশ্যই, প্রস্তুতকারকের কাছ থেকে ফায়ারওয়াল সেট আপ করার জন্য সেরা অনুশীলনের একটি সেট রয়েছে: ভাল অভ্যাস.

সুতরাং, আমি এক সপ্তাহের জন্য বাড়িতে একটি ফায়ারওয়াল ছিল. আমার নেটওয়ার্কে কি ট্রাফিক আছে তা দেখা যাক:


যদি সেশনের সংখ্যা অনুসারে বাছাই করা হয়, তবে তাদের বেশিরভাগই বিটরেন্ট দ্বারা তৈরি হয়, তারপর আসে SSL, তারপর QUIC। এগুলি আগত এবং বহির্গামী উভয় ট্র্যাফিকের পরিসংখ্যান: আমার রাউটারের অনেকগুলি বাহ্যিক স্ক্যান রয়েছে৷ আমার নেটওয়ার্কে 150টি বিভিন্ন অ্যাপ্লিকেশন রয়েছে।

সুতরাং, এটি একটি নিয়ম দ্বারা এড়িয়ে গেছে। এখন দেখা যাক পলিসি অপটিমাইজার এ সম্পর্কে কি বলে। আপনি যদি উপরে নিরাপত্তা বিধি সহ ইন্টারফেসের স্ক্রিনশটটি দেখেন, তাহলে আপনি নীচে বাম দিকে একটি ছোট উইন্ডো দেখেছেন, যা আমাকে ইঙ্গিত দেয় যে এমন নিয়ম রয়েছে যা অপ্টিমাইজ করা যায়। এর সেখানে ক্লিক করা যাক.

নীতি অপ্টিমাইজার যা দেখায়:

• কোন নীতিগুলি 30 দিন, 90 দিন ব্যবহার করা হয়নি। এটি তাদের সম্পূর্ণরূপে অপসারণ করার সিদ্ধান্ত নিতে সাহায্য করে।
• নীতিমালায় কোন অ্যাপ্লিকেশনগুলি নির্দিষ্ট করা হয়েছিল, তবে ট্রাফিকের মধ্যে এমন কোনও অ্যাপ্লিকেশন পাওয়া যায়নি। এটি আপনাকে অনুমতি নিয়মে অপ্রয়োজনীয় অ্যাপ্লিকেশনগুলি সরাতে দেয়।
• কোন নীতিগুলি সবকিছুর অনুমতি দেয়, কিন্তু সত্যিই এমন অ্যাপ্লিকেশন ছিল যা জিরো ট্রাস্ট পদ্ধতি অনুসারে স্পষ্টভাবে নির্দেশ করা ভাল হবে।

Unused এ ক্লিক করুন।

এটি কীভাবে কাজ করে তা দেখানোর জন্য, আমি কয়েকটি নিয়ম যোগ করেছি এবং এখনও পর্যন্ত তারা একটি প্যাকেট মিস করেনি। এখানে তাদের তালিকা:

সম্ভবত, সময়ের সাথে সাথে, ট্র্যাফিক সেখানে যাবে এবং তারপরে তারা এই তালিকা থেকে অদৃশ্য হয়ে যাবে। এবং যদি তারা 90 দিনের জন্য এই তালিকায় থাকে, তাহলে আপনি এই নিয়মগুলি সরানোর সিদ্ধান্ত নিতে পারেন। সব পরে, প্রতিটি নিয়ম একটি হ্যাকার জন্য একটি সুযোগ প্রদান করে.

ফায়ারওয়াল কনফিগারেশনের সাথে একটি বাস্তব সমস্যা রয়েছে: একজন নতুন কর্মচারী আসেন, ফায়ারওয়ালের নিয়মগুলি দেখেন, যদি তাদের কোনও মন্তব্য না থাকে এবং কেন এই নিয়মটি তৈরি করা হয়েছিল তা জানেন না, এটি কি সত্যিই প্রয়োজন, এটি কি মুছে ফেলা যেতে পারে: হঠাৎ ব্যক্তিটি ছুটিতে এবং 30 দিনের মধ্যে ট্রাফিক আবার প্রয়োজন পরিষেবা থেকে চলে যাবে। এবং শুধুমাত্র এই ফাংশন তাকে একটি সিদ্ধান্ত নিতে সাহায্য করে - কেউ এটি ব্যবহার করে না - এটি মুছুন!

Unused App এ ক্লিক করুন।

আমরা অপটিমাইজারে অব্যবহৃত অ্যাপে ক্লিক করি এবং দেখি যে আকর্ষণীয় তথ্য মূল উইন্ডোতে খোলে।

আমরা দেখতে পাই যে তিনটি নিয়ম রয়েছে, যেখানে অনুমোদিত অ্যাপ্লিকেশনের সংখ্যা এবং এই নিয়মটি পাস করা আবেদনের সংখ্যা আলাদা।

আমরা ক্লিক করতে পারি এবং এই অ্যাপ্লিকেশনগুলির একটি তালিকা দেখতে পারি এবং এই তালিকাগুলির তুলনা করতে পারি।
উদাহরণস্বরূপ, আসুন সর্বাধিক নিয়মের তুলনা বাটনে ক্লিক করি।

এখানে আপনি দেখতে পাচ্ছেন যে ফেসবুক, ইনস্টাগ্রাম, টেলিগ্রাম, ভিকন্টাক্টে অ্যাপ্লিকেশনগুলি অনুমোদিত ছিল। কিন্তু বাস্তবে, ট্রাফিক শুধুমাত্র সাব-অ্যাপ্লিকেশনের কিছু অংশ দিয়ে গেছে। এখানে আপনাকে বুঝতে হবে যে ফেসবুক অ্যাপ্লিকেশনটিতে বেশ কয়েকটি সাব-অ্যাপ্লিকেশন রয়েছে।

এনজিএফডব্লিউ অ্যাপ্লিকেশনের সম্পূর্ণ তালিকা পোর্টালে দেখা যাবে applipedia.paloaltonetworks.com এবং ফায়ারওয়াল ইন্টারফেসে নিজেই, অবজেক্ট->অ্যাপ্লিকেশন বিভাগে এবং অনুসন্ধানে, অ্যাপ্লিকেশনটির নাম টাইপ করুন: facebook, আপনি নিম্নলিখিত ফলাফল পাবেন:

সুতরাং, NGFW এই উপ-অ্যাপ্লিকেশনগুলির কিছু দেখেছে, কিন্তু কিছু নয়৷ প্রকৃতপক্ষে, আপনি আলাদাভাবে ফেসবুকের বিভিন্ন সাবফাংশন নিষ্ক্রিয় এবং সক্ষম করতে পারেন। উদাহরণস্বরূপ, আপনাকে বার্তাগুলি দেখার অনুমতি দিন, কিন্তু চ্যাট বা ফাইল স্থানান্তর নিষিদ্ধ করুন৷ তদনুসারে, পলিসি অপ্টিমাইজার এটি সম্পর্কে কথা বলে এবং আপনি একটি সিদ্ধান্ত নিতে পারেন: সমস্ত Facebook অ্যাপ্লিকেশনগুলিকে অনুমতি দেবেন না, তবে শুধুমাত্র প্রধানগুলি৷

সুতরাং, আমরা বুঝতে পেরেছি যে তালিকাগুলি আলাদা। আপনি নিশ্চিত করতে পারেন যে নিয়মগুলি শুধুমাত্র সেই অ্যাপ্লিকেশনগুলিকে অনুমতি দেয় যেগুলি আসলে নেটওয়ার্কে ঘোরাফেরা করে৷ এটি করতে, আপনি MatchUsage বোতামে ক্লিক করুন। এটি এই মত দেখা যাচ্ছে:

এবং আপনি প্রয়োজনীয় অ্যাপ্লিকেশনগুলিও যুক্ত করতে পারেন - উইন্ডোর বাম দিকে যুক্ত বোতামটি:

এবং তারপর এই নিয়ম প্রয়োগ এবং পরীক্ষা করা যেতে পারে। অভিনন্দন!

কোনো অ্যাপ নির্দিষ্ট করা হয়নি ক্লিক করুন।

এই ক্ষেত্রে, একটি গুরুত্বপূর্ণ নিরাপত্তা উইন্ডো খুলবে।

সম্ভবত এমন অনেক নিয়ম রয়েছে যেখানে L7 স্তরের অ্যাপ্লিকেশনটি আপনার নেটওয়ার্কে স্পষ্টভাবে নির্দিষ্ট করা নেই। এবং আমার নেটওয়ার্কে এমন একটি নিয়ম রয়েছে - আমাকে আপনাকে মনে করিয়ে দিই যে আমি প্রাথমিক সেটআপের সময় এটি তৈরি করেছি, বিশেষত পলিসি অপ্টিমাইজার কীভাবে কাজ করে তা দেখানোর জন্য।

ছবিটি দেখায় যে AllowAll নিয়মটি 9 মার্চ থেকে 17 মার্চ পর্যন্ত সময়ের মধ্যে 220 গিগাবাইট ট্র্যাফিক মিস করেছে, যা আমার নেটওয়ার্কে মোট 150টি ভিন্ন অ্যাপ্লিকেশন। এবং এই এখনও যথেষ্ট নয়. সাধারণত, একটি মাঝারি আকারের কর্পোরেট নেটওয়ার্কে 200-300টি বিভিন্ন অ্যাপ্লিকেশন থাকে।

সুতরাং, একটি নিয়মে প্রায় 150টি অ্যাপ্লিকেশন মিস হয়। এর মানে হল যে ফায়ারওয়ালটি ভুলভাবে কনফিগার করা হয়েছে, কারণ সাধারণত একটি নিয়মে বিভিন্ন উদ্দেশ্যে 1-10টি অ্যাপ্লিকেশন এড়িয়ে যায়। আসুন দেখি এই অ্যাপ্লিকেশনগুলি কি: তুলনা বাটনে ক্লিক করুন:

পলিসি অপ্টিমাইজার ফিচারে অ্যাডমিনিস্ট্রেটরের জন্য সবচেয়ে বিস্ময়কর জিনিস হল ম্যাচ ইউসেজ বোতাম - আপনি এক ক্লিকে একটি নিয়ম তৈরি করতে পারেন, যেখানে আপনি নিয়মের মধ্যে সমস্ত 150টি অ্যাপ্লিকেশন প্রবেশ করাবেন। ম্যানুয়ালি এটি করতে খুব বেশি সময় লাগবে। প্রশাসকের জন্য কাজের সংখ্যা, এমনকি আমার 10টি ডিভাইসের নেটওয়ার্কেও বিশাল।

আমার বাড়িতে 150টি বিভিন্ন অ্যাপ্লিকেশন চলছে, গিগাবাইট ট্র্যাফিক প্রেরণ করছে! এবং আপনার কত আছে?

কিন্তু 100টি ডিভাইস বা 1000 বা 10000 এর নেটওয়ার্কে কী হবে? আমি 8000 নিয়ম সহ ফায়ারওয়াল দেখেছি এবং আমি খুব খুশি যে প্রশাসকদের কাছে এখন এই ধরনের সুবিধাজনক অটোমেশন সরঞ্জাম রয়েছে।

NGFW-এর L7 অ্যাপ্লিকেশন বিশ্লেষণ মডিউল নেটওয়ার্কে দেখেছে এবং দেখিয়েছে এমন কিছু অ্যাপ্লিকেশানের আপনার প্রয়োজন হবে না, তাই আপনি কেবল অনুমতি দেওয়ার নিয়মের তালিকা থেকে সেগুলি সরিয়ে ফেলুন, বা ক্লোন বোতামের সাহায্যে নিয়মগুলি ক্লোন করুন (মূল ইন্টারফেসে) এবং একটি অ্যাপ্লিকেশন নিয়মে অনুমতি দিন, এবং অন্যান্য অ্যাপ্লিকেশনগুলিকে ব্লক করুন যেন আপনার নেটওয়ার্কে তাদের অবশ্যই প্রয়োজন নেই৷ এই ধরনের অ্যাপ্লিকেশনগুলি প্রায়শই বিটোরেন্ট, স্টিম, আল্ট্রাসার্ফ, টর, টিসিপি-ওভার-ডিএনএস এবং অন্যান্যগুলির মতো লুকানো টানেল হয়ে যায়।

ভাল, অন্য নিয়মে ক্লিক করুন - আপনি সেখানে কী দেখতে পাবেন:

হ্যাঁ, মাল্টিকাস্টের জন্য নির্দিষ্ট অ্যাপ্লিকেশন রয়েছে। নেটওয়ার্কে ভিডিও দেখার জন্য কাজ করার জন্য আমাদের অবশ্যই তাদের অনুমতি দিতে হবে। ম্যাচ ব্যবহার ক্লিক করুন। দারুণ! ধন্যবাদ পলিসি অপটিমাইজার।

মেশিন লার্নিং সম্পর্কে কি?

এখন অটোমেশন সম্পর্কে কথা বলা ফ্যাশনেবল। আমি যা বর্ণনা করেছি তা বেরিয়ে এসেছে - এটি অনেক সাহায্য করে। আরেকটি সম্ভাবনা আছে যা আমাকে অবশ্যই উল্লেখ করতে হবে। এটি উপরে উল্লিখিত এক্সপিডিশন ইউটিলিটিতে তৈরি মেশিন লার্নিং কার্যকারিতা। এই ইউটিলিটিতে, অন্য নির্মাতার থেকে আপনার পুরানো ফায়ারওয়াল থেকে নিয়মগুলি স্থানান্তর করা সম্ভব। এবং বিদ্যমান Palo Alto নেটওয়ার্কের ট্রাফিক লগগুলি বিশ্লেষণ করার এবং কোন নিয়মগুলি লিখতে হবে তা পরামর্শ দেওয়ার ক্ষমতাও রয়েছে৷ এটি পলিসি অপ্টিমাইজারের কার্যকারিতার মতো, তবে অভিযানে এটি আরও উন্নত এবং আপনাকে রেডিমেড নিয়মগুলির একটি তালিকা দেওয়া হয় - আপনাকে কেবল সেগুলি অনুমোদন করতে হবে।
এই কার্যকারিতা পরীক্ষা করার জন্য, একটি পরীক্ষাগার কাজ আছে - আমরা এটি একটি পরীক্ষা ড্রাইভ বলি। এই পরীক্ষাটি ভার্চুয়াল ফায়ারওয়ালগুলিতে গিয়ে করা যেতে পারে যা Palo Alto Networks মস্কো অফিসের কর্মীরা আপনার অনুরোধে চালু করবে।

অনুরোধ পাঠানো যেতে পারে [ইমেল সুরক্ষিত] এবং অনুরোধে লিখুন: "আমি মাইগ্রেশন প্রক্রিয়ার জন্য একটি UTD করতে চাই।"

আসলে, ইউনিফাইড টেস্ট ড্রাইভ (ইউটিডি) নামে ল্যাবগুলির জন্য বেশ কয়েকটি বিকল্প রয়েছে এবং সেগুলি সবই দূর থেকে উপলব্ধ অনুরোধের পরে

শুধুমাত্র নিবন্ধিত ব্যবহারকারীরা জরিপে অংশগ্রহণ করতে পারবেন। সাইন ইন করুনকরুন।

আপনি কি চান যে কেউ আপনাকে আপনার ফায়ারওয়াল নীতিগুলি অপ্টিমাইজ করতে সাহায্য করুক?

• হাঁ

• না

• আমি নিজেই সবকিছু করব

এখনো কেউ ভোট দেয়নি। কোন বিরতি আছে.

উত্স: www.habr.com