{"id":29980,"date":"2019-10-31T21:32:59","date_gmt":"2019-10-31T18:32:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/optimizator-politik-bezopasnosti-palo-alto-networks-ngfw\/"},"modified":"2019-10-31T21:32:59","modified_gmt":"2019-10-31T18:32:59","slug":"optimizator-politik-bezopasnosti-palo-alto-networks-ngfw","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/optimizator-politik-bezopasnosti-palo-alto-networks-ngfw","title":{"rendered":"Optimierer f\u00fcr die Sicherheitsrichtlinien von Palo Alto Networks NGFW","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Wie man die Effizienz der NGFW-Konfiguration bewertet<\/h1>\n

\nDie h\u00e4ufigste Aufgabe besteht darin, zu \u00fcberpr\u00fcfen, wie effektiv Ihre Firewall konfiguriert ist. Daf\u00fcr gibt es kostenlose Tools und Dienstleistungen von Unternehmen, die sich mit NGFW besch\u00e4ftigen. <\/p>\n

Zum Beispiel sieht man unten, dass das Unternehmen Palo Alto Networks die M\u00f6glichkeit bietet, direkt aus dem Support-Portal<\/a><\/noindex> eine Analyse der Firewall-Statistiken zu starten \u2013 SLR-Bericht oder eine Analyse der Konformit\u00e4t mit bew\u00e4hrten Praktiken \u2013 BPA-Bericht. Dies sind kostenlose Online-Tools, die man nutzen kann, ohne etwas installieren zu m\u00fcssen.
\n\"Optimierer <\/a><\/noindex><\/p>\n

INHALT<\/h3>\n

\nExpedition (Migrationstool)<\/a><\/noindex>
\nPolicy Optimizer<\/a><\/noindex>
\nZero Trust<\/a><\/noindex>
\nKlicken Sie auf Unused<\/a><\/noindex>
\nKlicken Sie auf Unused App<\/a><\/noindex>
\nKlicken Sie auf No Apps Specified<\/a><\/noindex>
\nUnd wie steht es mit Machine Learning<\/a><\/noindex>
\nUTD<\/a><\/noindex><\/p>\n

<\/a><\/noindex><\/p>\n

Expedition (Migrationstool)<\/h2>\n

\n\"Optimierer
\n
\nEine kompliziertere M\u00f6glichkeit, Ihre Einstellungen zu \u00fcberpr\u00fcfen, ist, das kostenlose Tool Expedition<\/a><\/noindex> (ehemals Migration Tool) herunterzuladen. Es wird als virtuelle Appliance f\u00fcr VMware heruntergeladen, eine Konfiguration ist nicht erforderlich \u2013 man muss das Image herunterladen und unter dem VMware-Hypervisor entpacken, es starten und auf das Webinterface zugreifen. Dieses Tool erfordert eine separate Erkl\u00e4rung, da der Kurs dar\u00fcber 5 Tage dauert, weil es aktuell dort viele Funktionen gibt, einschlie\u00dflich Machine Learning und der Migration verschiedener Konfigurationen von Richtlinien, NAT und Objekten f\u00fcr unterschiedliche Firewall-Hersteller. \u00dcber Machine Learning werde ich sp\u00e4ter im Text noch genauer schreiben.<\/p>\n

<\/a><\/noindex><\/p>\n

Policy Optimizer<\/h2>\n

\nUnd die bequemste Option (IMO), \u00fcber die ich heute n\u00e4her berichten werde \u2013 der im Palo Alto Networks-Interface integrierte Policy-Optimierer. Um dies zu demonstrieren, habe ich eine Firewall bei mir zu Hause installiert und eine einfache Regel erstellt: permit any to any. Solche Regeln sehe ich manchmal sogar in Unternehmensnetzwerken. Nat\u00fcrlich habe ich alle Sicherheitsprofile der NGFW aktiviert, wie auf dem Screenshot zu sehen ist:
\n\"Optimierer
\n
\nDer Screenshot unten zeigt ein Beispiel meiner unkonfigurierten Heimfirewall, bei der fast alle Verbindungen in die letzte Regel fallen: AllowAll, was durch die Statistik in der Spalte Hit Count sichtbar ist.
\n\"Optimierer
\n
\n<\/a><\/noindex><\/p>\n

Zero Trust<\/h2>\n

\nEs gibt einen Ansatz zur Sicherheit, der als Zero Trust<\/a><\/noindex>bezeichnet wird. Was bedeutet das: Wir sollten den Menschen im Netzwerk genau die Verbindungen erlauben, die sie ben\u00f6tigen, und alles andere verbieten. Das hei\u00dft, wir m\u00fcssen klare Regeln f\u00fcr Anwendungen, Benutzer, URL-Kategorien und Dateitypen hinzuf\u00fcgen; alle IPS- und Antivirus-Signaturen aktivieren, Sandboxing und DNS-Schutz aktivieren, von IoC aus den verf\u00fcgbaren Threat Intelligence-Datenbanken Gebrauch machen. Insgesamt gibt es eine betr\u00e4chtliche Anzahl von Aufgaben bei der Konfiguration der Firewall. <\/p>\n

\u00dcbrigens ist das minimale Set erforderlicher Einstellungen f\u00fcr Palo Alto Networks NGFW in einem der SANS-Dokumente beschrieben: Sicherheitskonfigurations-Benchmark von Palo Alto Networks<\/a><\/noindex> \u2014 ich empfehle, mit diesem zu beginnen. Und nat\u00fcrlich gibt es eine Sammlung bew\u00e4hrter Methoden zur Konfiguration der Firewall beim Hersteller: Best Practice<\/a><\/noindex>.<\/p>\n

Also, ich hatte eine Woche lang eine Firewall zu Hause stehen. Lassen Sie uns sehen, welcher Datenverkehr in meinem Netzwerk vorhanden ist:
\n\"Optimierer
\n
\nWenn man nach der Anzahl der Sitzungen sortiert, erzeugt bittorent die meisten, dann folgt SSL und danach QUIC. Dies sind die Statistiken f\u00fcr eingehenden und ausgehenden Datenverkehr: es gibt sehr viele externe Scans meines Routers. In meinem Netzwerk gibt es 150 verschiedene Anwendungen. <\/p>\n

So wurde dies alles durch eine Regel zugelassen. Schauen wir nun, was der Policy Optimizer dazu sagt. Wenn Sie oben auf den Screenshot der Sicherheitsregeln geschaut haben, haben Sie links unten ein kleines Fenster gesehen, das mir andeutet, dass es Regeln gibt, die optimiert werden k\u00f6nnen. Lassen Sie uns darauf klicken.<\/p>\n

Was zeigt der Policy Optimizer:<\/p>\n