{"id":29980,"date":"2019-10-31T21:32:59","date_gmt":"2019-10-31T18:32:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/optimizator-politik-bezopasnosti-palo-alto-networks-ngfw\/"},"modified":"2019-10-31T21:32:59","modified_gmt":"2019-10-31T18:32:59","slug":"optimizator-politik-bezopasnosti-palo-alto-networks-ngfw","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/optimizator-politik-bezopasnosti-palo-alto-networks-ngfw","title":{"rendered":"Optimizador de pol\u00edticas de seguridad Palo Alto Networks NGFW","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

C\u00f3mo evaluar la efectividad de la configuraci\u00f3n del NGFW<\/h1>\n

\nLa tarea m\u00e1s com\u00fan es verificar cu\u00e1n eficientemente est\u00e1 configurado su cortafuegos. Existen utilidades y servicios gratuitos de empresas que se dedican a NGFW para esto. <\/p>\n

Por ejemplo, a continuaci\u00f3n se puede ver que la empresa Palo Alto Networks tiene la posibilidad de analizar directamente desde el portal de soporte<\/a><\/noindex> las estad\u00edsticas del cortafuegos: el informe SLR o el an\u00e1lisis de conformidad con las mejores pr\u00e1cticas: el informe BPA. Estas son utilidades en l\u00ednea gratuitas que se pueden utilizar sin necesidad de instalar nada.
\n\"Optimizador <\/a><\/noindex><\/p>\n

CONTENIDO<\/h3>\n

\nExpedition (Herramienta de Migraci\u00f3n)<\/a><\/noindex>
\nOptimizador de Pol\u00edticas<\/a><\/noindex>
\nZero Trust<\/a><\/noindex>
\nHagamos clic en Unused<\/a><\/noindex>
\nHagamos clic en Unused App<\/a><\/noindex>
\nHagamos clic en No Apps Specified<\/a><\/noindex>
\n\u00bfY qu\u00e9 hay del Aprendizaje Autom\u00e1tico?<\/a><\/noindex>
\nUTD<\/a><\/noindex><\/p>\n

<\/a><\/noindex><\/p>\n

Expedition (Herramienta de Migraci\u00f3n)<\/h2>\n

\n\"Optimizador
\n
\nUna opci\u00f3n m\u00e1s compleja para verificar su configuraci\u00f3n es descargar una herramienta gratuita Expedition<\/a><\/noindex> (anteriormente Migration Tool). Se descarga como un Appliance Virtual para VMware, no requiere configuraci\u00f3n: simplemente hay que descargar la imagen e implementarla en el hipervisor VMware, iniciarla y acceder a la interfaz web. Esta utilidad merece una menci\u00f3n aparte, pues el curso sobre ella dura 5 d\u00edas; hay tantas funciones en este momento, incluyendo Aprendizaje Autom\u00e1tico y migraci\u00f3n de diversas configuraciones de pol\u00edticas, NAT y objetos para diferentes fabricantes de cortafuegos. Sobre Aprendizaje Autom\u00e1tico, escribir\u00e9 m\u00e1s adelante en el texto.<\/p>\n

<\/a><\/noindex><\/p>\n

Optimizador de Pol\u00edticas<\/h2>\n

\nY la opci\u00f3n m\u00e1s conveniente (en mi humilde opini\u00f3n), que hoy explicar\u00e9 en detalle, es el optimizador de pol\u00edticas integrado en la interfaz de Palo Alto Networks. Para demostrarlo, instal\u00e9 un cortafuegos en mi casa y escrib\u00ed una regla simple: permitir cualquier cosa a cualquier cosa. De hecho, a veces veo estas reglas incluso en redes corporativas. Naturalmente, activ\u00e9 todos los perfiles de seguridad del NGFW, como se puede ver en la captura de pantalla:
\n\"Optimizador
\n
\nEn la captura de pantalla siguiente se muestra un ejemplo de mi cortafuegos en casa no configurado, donde casi todas las conexiones caen en la \u00faltima regla: AllowAll, lo cual se puede ver por las estad\u00edsticas en la columna de conteo de hits.
\n\"Optimizador
\n
\n<\/a><\/noindex><\/p>\n

Zero Trust<\/h2>\n

\nHay un enfoque de seguridad denominado Zero Trust<\/a><\/noindex>. \u00bfQu\u00e9 significa esto? Debemos permitir que las personas dentro de la red establezcan exactamente las conexiones que necesitan y prohibir todo lo dem\u00e1s. Es decir, necesitamos agregar reglas claras sobre aplicaciones, usuarios, categor\u00edas de URL, tipos de archivos; activar todas las firmas IPS y de antivirus, habilitar la sandbox, la protecci\u00f3n DNS, utilizar IoC de las bases de datos de inteligencia de amenazas disponibles. En general, hay una cantidad considerable de tareas al configurar un cortafuegos. <\/p>\n

Por cierto, el conjunto m\u00ednimo de configuraciones necesarias para Palo Alto Networks NGFW se describe en uno de los documentos de SANS: Palo Alto Networks Security Configuration Benchmark<\/a><\/noindex> \u2014 recomiendo comenzar con eso. Y, por supuesto, hay un conjunto de mejores pr\u00e1cticas para configurar el firewall de la empresa fabricante: Best Practice<\/a><\/noindex>.<\/p>\n

As\u00ed que, tuve un firewall en casa por una semana. Veamos qu\u00e9 tr\u00e1fico hay en mi red:
\n\"Optimizador
\n
\nSi ordenamos por n\u00famero de sesiones, la mayor\u00eda de ellas son creadas por bittorrent, luego sigue SSL, y despu\u00e9s QUIC. Estas son estad\u00edsticas tanto de tr\u00e1fico entrante como saliente: hay muchos escaneos externos de mi router. Hay 150 aplicaciones en mi red. <\/p>\n

Entonces, todo esto fue permitido por una regla. Ahora veamos qu\u00e9 dice el Policy Optimizer al respecto. Si miraste anteriormente la captura de pantalla de la interfaz con las reglas de seguridad, a la izquierda en la parte inferior viste una peque\u00f1a ventana que me indica que existen reglas que se pueden optimizar. Hacemos clic all\u00ed.<\/p>\n

Lo que muestra el Policy Optimizer:<\/p>\n