Sådan vurderer du effektiviteten af NGFW-konfigurationen
Den mest almindelige opgave er at kontrollere, hvor effektivt din firewall er konfigureret. Der findes gratis værktøjer og tjenester fra virksomheder, der arbejder med NGFW.
For eksempel kan man se nedenfor, at Palo Alto Networks tilbyder muligheden direkte fra at køre en analyse af firewall-statistikker — SLR-rapport eller analyse af overensstemmelse med bedste praksis — BPA-rapport. Dette er gratis online værktøjer, som man kan benytte sig af uden installation.
INDHOLD
Expedition (Migreringsværktøj)
Et mere komplekst alternativ til at tjekke dine indstillinger er at downloade det gratis værktøj (tidligere Migreringsværktøj). Det downloades som en Virtual Appliance til VMware; der kræves ingen indstillinger — du skal bare downloade billedet og implementere det på VMware-hypervisoren, starte det og få adgang til webgrænsefladen. Dette værktøj kræver en særskilt forklaring, da kurset om det tager 5 dage, så mange funktioner findes der nu, herunder Machine Learning og migrering af forskellige konfigurationer af politikker, NAT og objekter for forskellige Firewall-producenter. Jeg vil beskrive Machine Learning nærmere senere i teksten.
Policy Optimizer
Og den mest praktiske mulighed (IMHO), som jeg i dag vil tale mere om — politikoptimatoren, der er integreret i Palo Alto Networks' egen grænseflade. For at demonstrere det har jeg installeret en firewall derhjemme og skrevet en simpel regel: tillad enhver til enhver. Generelt ser jeg sådanne regler også nogle gange i erhvervsnetværk. Selvfølgelig aktiverede jeg alle NGFW-sikkerhedsprofiler, som det ses på skærmbilledet:
Skærmbilledet nedenfor viser eksemplet på min hjemme-firewall, der ikke er konfigureret, hvor næsten alle forbindelser falder ind under den sidste regel: AllowAll, hvilket tydeligt ses i statistikken i kolonnen Hit Count.
Zero Trust
Der findes en tilgang til sikkerhed kaldet . Hvad betyder dette: vi skal tillade folk inden for netværket præcist de forbindelser, de har brug for, og forbyde alt andet. Det betyder, at vi skal tilføje klare regler for applikationer, brugere, URL-kategorier, filtyper; aktivere alle IPS- og antivirus-signaturer, aktivere sandkasse, DNS-beskyttelse, bruge IoC fra de tilgængelige Threat Intelligence-databaser. I det hele taget er der et betydeligt antal opgaver ved konfigurationen af en firewall.
For øvrigt er det minimums, der kræves en række nødvendige indstillinger for Palo Alto Networks NGFW beskrevet i et af SANS-dokumenterne: — jeg anbefaler at starte med det. Og selvfølgelig er der et sæt bedste praksis til konfiguration af firewall fra producenten: .
Så, jeg har haft firewallen stående derhjemme i en uge. Lad os se på, hvilken trafik der er i mit netværk:
Hvis vi sorterer efter antal sessioner, genererer bittorent flest, derefter kommer SSL, og så QUIC. Dette er samlet statistik for både indgående og udgående trafik: der er meget ekstern scanning af min router. Der er 150 forskellige applikationer i mit netværk.
Så alt dette er blevet behandlet af én regel. Lad os nu se, hvad Policy Optimizer siger om det. Hvis du har kigget på skærmbillede af sikkerhedsreglerne ovenfor, så har du til venstre nedenfor set et lille vindue, der antyder, at der er regler, der kan optimeres. Lad os klikke der.
Hvad viser Policy Optimizer:
- Hvilke politikker ikke har været brugt overhovedet, i 30 dage, 90 dage. Det hjælper med at træffe beslutning om at slette dem helt.
- Hvilke applikationer, der var angivet i politikkerne, men som ikke blev fundet i trafikken. Dette tillader at fjerne unødvendige applikationer i tilladte regler.
- Hvilke politikker tillod alt muligt, men der gik reelt applikationer, som ifølge Zero Trust-metoden skulle angives tydeligt.
Lad os klikke på Unused.
For at vise, hvordan det fungerer, har jeg tilføjet nogle regler, og de har indtil videre ikke tilladt nogen pakker i dag. Her er deres liste:
Måske vil der med tiden komme trafik derinde, og så vil de forsvinde fra denne liste. Og hvis de er på denne liste i 90 dage — så kan du træffe beslutning om at slette disse regler. Hver regel giver mulighed for en hacker.
Der er et reelt problem ved konfiguration af firewallen: når der kommer en ny medarbejder, kigger de på firewallsreglerne, og hvis der ikke er nogen kommentarer, og de ikke ved, hvorfor denne regel er oprettet, om den virkelig er nødvendig, eller om den kan slettes: måske er personen på ferie, og efter 30 dage vil trafikken igen komme fra den nødvendige tjeneste for dem. Og netop denne funktion hjælper dem med at træffe beslutningen — ingen bruger det — slet!
Lad os klikke på Unused App.
Vi klikker i optimeringsværktøjet på Unused App og ser, at der vises interessante oplysninger i hovedvinduet.
Vi ser, at der er tre regler, hvor antallet af tilladte apps og antallet af apps, der reelt har passeret efter denne regel, adskiller sig.
Vi kan klikke og se listen over disse apps og sammenligne disse lister.
For eksempel, lad os klikke på knappen Compare for reglen Max.
Her kan vi se, at der blev tilladt apps som facebook, instagram, telegram, vkontakte. Men faktisk gik trafikken kun gennem nogle af underapps. Her skal man forstå, at facebook-appen indeholder flere underapps.
Hele listen over NGFW-apps kan ses på portalen og i selve grænsefladen for firewallen under sektionen Objects->Applications, og i søgningen skal du indtaste navnet på appen: facebook, hvilket giver et sådant resultat:
Så, en del af disse NGFW-underapps blev set, og en del blev ikke. Faktisk kan du separat forbyde og tillade forskellige underfunktioner af Facebook. For eksempel tillade at se beskeder, men forbyde chat eller filoverførsel. Derfor fortæller Policy Optimizer om dette, og du kan træffe beslutningen: tillade ikke alle Facebook-apps, men kun de grundlæggende.
Så, vi har forstået, at listerne er forskellige. Du kan gøre det således, at reglerne kun tillader de apps, som faktisk har været i netværket. For dette klikker du på knappen MatchUsage. Resultatet bliver således:
Og du kan også tilføje apps, som du anser for nødvendige – knappen Add i venstre side af vinduet:
Og derefter kan denne regel anvendes og testes. Tillykke!
Lad os klikke på No Apps Specified.
I dette tilfælde åbnes et vigtigt sikkerhedsvindue.
Sådanne regler, hvor appen på L7-niveau ikke er angivet, findes sandsynligvis i dit netværk i stort antal. Og der er sådan en regel i mit netværk – lad mig minde om, at jeg oprettede den under den første opsætning, netop for at vise, hvordan Policy Optimizer fungerer.
På billedet kan vi se, at reglen AllowAll har tilladt 220 gigabyte trafik i perioden fra 9. marts til 17. marts, hvor der i mit netværk er 150 forskellige apps. Og det er stadig lidt. Normalt er der 200-300 forskellige apps i et netværk af mellemstor virksomhed.
Så et regel kan tillade op til 150 applikationer. Dette betyder som regel, at firewallen er forkert konfigureret, da der normalt kun tillades 1-10 applikationer pr. regel til forskellige formål. Lad os se, hvilke applikationer der er tale om: klik på knappen Compare:
Det mest fantastiske for administratoren ved funktionen Policy Optimizer er knappen Match Usage — med et enkelt klik kan du oprette en regel, hvor du indtaster alle 150 applikationer. Hvis du skulle gøre det manuelt, ville det tage meget lang tid. Antallet af opgaver for administratoren, selv i mit netværk med 10 enheder, er enormt.
Jeg har 150 forskellige applikationer derhjemme, som sender gigabyte af trafik! Hvad med dig?
Hvad med et netværk med 100 enheder eller 1000 eller 10000? Jeg har set firewalls med 8000 regler, og jeg er meget glad for, at administratorer nu har sådanne praktiske automatiseringsværktøjer.
Nogle af de applikationer, som L7-analysemodulet i NGFW viste mig, vil du ikke have brug for i dit netværk, så du kan blot fjerne dem fra den tilladte regelliste, eller lave en kloning af reglerne med knappen Clone (i hovedgrænsefladen), hvor du i den ene regel tillader applikationer, og i den anden blokkerer applikationer, som ikke er nødvendige i dit netværk. Sådanne applikationer bliver ofte bittorrent, steam, ultrasurf, tor, skjulte tunneler som tcp-over-dns og andre.
Lad os klikke ind i en anden regel — hvad kan vi se:
Ja, her er applikationer, der er karakteristiske for multicast. Vi skal tillade dem, så videoafspilning over nettet fungerer. Klikker på Match Usage. Perfekt! Tak Policy Optimizer.
Hvad med Machine Learning.
Det er meget trendy at tale om automatisering. Det, jeg tidligere beskrev, er meget hjælpsomt. Der er også en anden mulighed, som jeg skal tale om. Det er Machine Learning-funktionaliteten, der er indbygget i værktøjet Expedition, som allerede er blevet nævnt tidligere. I dette værktøj er det muligt at overføre regler fra din gamle firewall fra en anden producent. Derudover kan det analysere eksisterende trafiklogs fra Palo Alto Networks og foreslå, hvilke regler der skal skrives. Det ligner Policy Optimizer-funktionaliteten, men i Expedition er det yderligere udvidet, og du får en liste med færdige regler — du skal blot godkende dem.
For at teste denne funktionalitet er der et laboratoriekursus — vi kalder det test drev. Denne test kan udføres ved at få adgang til de virtuelle firewall-løsninger, som medarbejderne fra Palo Alto Networks kontoret i Moskva vil starte efter din anmodning.
Anmodningen kan sendes til adressen Russia@paloaltonetworks.com, og i anmodningen skal du skrive: "Jeg vil gerne lave UTD om Migration Processen."
Der findes faktisk flere varianter af laboratoriekurset kaldet Unified Test Drive (UTD), og alle er efter anmodningen.
Kun registrerede brugere kan deltage i undersøgelsen. , please.
Vil du have, at nogen hjælper dig med at optimere politikkerne for din firewall?
Ja
Nej
Jeg klarer det hele selv.
Ingen har endnu stemt. Der er ingen, der undlader.
Kilde: habr.com
