Ahoj všem! V této souvislosti chci vám podrobněji přiblížit funkce, které nabízí řešení Sophos XG Firewall, a seznámit vás s webovým rozhraním. Komerční články a dokumenty jsou skvělé, ale vždy je zajímavé vidět, jak dané řešení vypadá naživo. Jak to tam všechno funguje? Takže pojďme na přehled.
V tomto článku bude ukázána první část funkcí Sophos XG Firewall — "Monitoring a analýza". Kompletní přehled vyjde jako cyklus článků. Půjdeme podle webového rozhraní Sophos XG Firewall a tabulky licencování.
Centrum správy bezpečnosti
A teď jsme spustili prohlížeč a otevřeli webové rozhraní našeho NGFW, vidíme výzvu k zadání loginu a hesla pro přístup do administrace.
Zadáváme login a heslo, které jsme nastavili při počáteční aktivaci, a dostáváme se do našeho řídicího centra. Vypadá to takto.
Téměř každý z těchto widgetů je klikací. Můžeme se dostat k incidentu a zobrazit podrobnosti.
Pojďme si rozebrat každý z bloků, začneme blokem Systém.
Blok Systém
Tento blok zobrazuje stav stroje v reálném čase. Pokud klikneme na jakoukoli ikonu, přejdeme na stránku s podrobnějšími informacemi o stavu systému.
Pokud jsou v systému problémy, tento widget na to upozorní, a na informační stránce si můžeme prohlédnout příčinu.
Přecházením mezi záložkami lze získat více informací o různých aspektech práce firewallu.
Blok Traffic insight
Tato sekce nám poskytuje představu o tom, co se v naší síti právě děje a co se dělo za posledních 24 hodin. Top 5 webových kategorií a aplikací podle provozu, síťové útoky (spuštění modulu IPS) a top 5 blokovaných aplikací.
Také stojí za to vyzdvihnout sekci Cloud Applications. V ní si můžeme prohlédnout přítomnost aplikací v lokální síti, které používají cloudové služby. Celkový počet, příchozí a odchozí provoz. Pokud klikneme na tento widget, dostaneme se na stránku s informacemi o cloudových aplikacích, kde si můžeme podrobněji prohlédnout, jaké cloudové aplikace jsou v síti, kdo je používá a informace o provozu.
Blok User & device insights
V tomto bloku jsou zobrazeny informace o uživatelích. Horní řádek ukazuje informace o infikovaných počítačích uživatelů, shromažďující informace z antiviru od Sophos a předávající je do Sophos XG Firewall. Na základě těchto informací může Firewall při infekci odpojit počítač uživatele od lokální sítě nebo segmentu sítě na úrovni L2 a zablokovat veškeré spojení s ním. Více informací o Security Heartbeat bylo v . Dále jsou zde dva řádky — kontrola aplikací a cloudový pískovič. Jelikož se jedná o samostatnou funkčnost, v tomto článku nebude podrobně rozebírána.
Je třeba věnovat pozornost dvěma dolním widgetům. To jsou ATP (Advanced Threat Protection) a UTQ (User Threat Quotient).
Modul ATP blokuje spojení s C&C, řídícími servery botnetových sítí. Pokud se zařízení ve vaší lokální síti dostane do botnetové sítě, tento modul o tom informuje a nedovolí připojení k řídícímu serveru. Vypadá to takto
Modul UTQ přiřazuje každému uživateli bezpečnostní index. Čím více se uživatel snaží přejít na zakázané stránky nebo spustit zakázané aplikace, tím vyšší je jeho hodnocení. Na základě těchto údajů lze předem provést školení pro takové uživatele, aniž bychom museli čekat na to, že jeho počítač bude nakonec infikován škodlivým softwarem. Vypadá to takto
Dále následuje oddíl s obecnými informacemi o aktivních firewallových pravidlech a rychlé zprávy, které lze rychle stáhnout ve formátu pdf
Přejděme k dalšímu oddílu menu — Aktuální aktivity
Aktuální aktivity
Začněme přehled záložky Aktivní uživatelé. Na této stránce můžeme vidět, kteří uživatelé jsou v tuto chvíli připojeni k Sophos XG Firewall, metodu autentizace, IP adresu zařízení, čas připojení a objem provozu.
Aktivní spojení
Na této záložce jsou zobrazeny aktivní relace v reálném čase. Tato tabulka může být filtrována podle aplikací, uživatelů a IP adres klientských strojů.
IPsec spojení
Na této záložce jsou zobrazeny informace o aktivních spojení IPsec VPN
Záložka Vzdálené uživatele
Na záložce Vzdálené uživatele jsou informace o vzdálených uživatelích, kteří se připojili přes SSL VPN
Také na této záložce lze vidět provoz uživatelů v reálném čase a nuceně odpojit jakéhokoli uživatele.
Přeskočíme záložku Reports, protože systém reportů v tomto produktu je velmi rozsáhlý a vyžaduje samostatný článek.
Diagnostika
Okamžitě se otevře stránka s různými nástroji pro hledání problémů. Patří sem Ping, Traceroute, Name lookup, Route lookup.
Následuje záložka se systémovými grafy zatížení hardwaru a portů v reálném čase.
Systémové grafy
Dále je zde záložka, kde můžete zkontrolovat kategorii webového zdroje.
Kontrola kategorie URL
Další záložka Packet capture — to je v podstatě integrovaný tcpdump ve webovém rozhraní. Lze také psát filtry.
Zachytávání paketů
Zajímavé je, že pakety se převádějí do tabulky, kde můžete zapínat a vypínat další sloupce s informacemi. Tato funkce je velmi užitečná pro hledání síťových problémů; například lze rychle pochopit, jaká pravidla filtrace byla aplikována na skutečný provoz.
Na záložce Connection List můžete vidět všechny existující spojení v reálném čase a informace o nich.
Seznam připojení
Závěr
Tímto zakončíme první část přehledu. Probrali jsme pouze velmi malou část dostupné funkčnosti a vůbec jsme se nedotkli ochranných modulů. V dalším článku se zaměříme na integrovanou reportovací funkčnost a pravidla firewallu, jejich typy a účely.
Děkujeme za váš čas.
Pokud budete mít dotazy ohledně komerční verze XG Firewall, můžete se na nás obrátit — společnost , distributor Sophos. Stačí napsat volnou formou na .
Zdroj: habr.com
