Kuidas hinnata NGFW konfiguratsiooni efektiivsust

Kõige levinum ülesanne on kontrollida, kui efektiivselt on teie tulemüür seadistatud. Selleks on olemas tasuta tööriistad ja teenused ettevõtetelt, mis tegelevad NGFW-iga.

Näiteks allpool on näha, et Palo Alto Networks'il on võimalus otse toetuse portaalist alustada tulemüüri statistika analüüsi - SLR aruanne või analüüs parimate praktikate kohaselt - BPA aruanne. Need on tasuta veebipõhised tööriistad, millega saab kasutada, ilma et oleks vaja midagi installida.

SISU

Expedition (Migration Tool)
Policy Optimizer
Zero Trust
Klõpsame Unused
Klõpsame Unused App
Klõpsame No Apps Specified
Aga kuidas on masinõppega?
UTD

Expedition (Migration Tool)

Rohkem keeruline meetod oma seadete kontrollimiseks on alla laadida tasuta tööriist Expedition (endine Migration Tool). See laetakse alla Virtual Appliance'ina VMware jaoks, seadistusi pole vajalik - lihtsalt laadige pilt alla ja käitage seda VMware hüperviisoril, käivitage ja minge veebiliidesesse. See utiliit väärib eraldi arutelu, pelgalt kursus selle kohta kestab 5 päeva, kuna seal on nüüd nii palju funktsioone, sealhulgas masinõpe ja erinevate konfiguratsioonide, poliitikate, NAT-i ja objekti migratsioon erinevate tulemüüri tootjate jaoks. Masinõppe kohta kirjutan hiljem üksikasjalikumalt.

Policy Optimizer

Ja kõige mugavam variant (IMHO), millest räägin täna lähemalt - poliitika optimeerija, mis on integreeritud Palo Alto Networks'i kasutajaliidesesse. Selle demonstreerimiseks installisin tulemüür enda koju ja kirjutasin lihtsa reegli: lubada kõik kõikidele. Selliseid reegleid kohtan vahel isegi ettevõttevõrkudes. Loomulikult aktiveerisin kõik NGFW turvaprofiilid, nagu on näha ekraanipildilt:


Alloleval ekraanipildil on näidatud minu kodune, seadistamata tulemüür, kus peaaegu kõik ühendused langevad viimasele reegli: AllowAll, mida näeb kolonni Hit Count statistikas.

Zero Trust

On olemas lähenemine turvalisusele, mida nimetatakse Zero Trust. See what this means: we must allow individuals within the network only those connections that they need and block everything else. This means we need to establish clear rules regarding applications, users, URL categories, file types; include all IPS and antivirus signatures, incorporate a sandbox, implement DNS protection, and utilize IoC from available Threat Intelligence databases. In general, there are quite a few tasks when configuring the firewall.

By the way, the minimum set of necessary settings for Palo Alto Networks NGFW is described in one of the SANS documents: Palo Alto Networks Security Configuration Benchmark — I recommend starting with it. And of course, there's a set of best practices for configuring the firewall from the manufacturer: Best Practice.

So, I've had the firewall at home for a week. Let's take a look at the traffic in my network:


If sorted by the number of sessions, bittorrent creates the most, followed by SSL, then QUIC. This is the statistics for both incoming and outgoing traffic: there is a lot of external scanning of my router. There are 150 different applications in my network.

Nii et, kõik see on läbinud ühe reegli. Vaatame nüüd, mida selle kohta ütleb Policy Optimizer. Kui vaatasite üleval olevat turvareeglite liidese ekraanipilti, siis nägite vasakus alanurgas väikest akent, mis vihjab, et on olemas reegleid, mida saab optimeerida. Kliki sinna.

Mida näitab Policy Optimizer:

• Milliseid poliitikaid pole üldse kasutatud, 30 päeva, 90 päeva. See aitab otsustada, kas need täielikult kustutada.
• Milliseid rakendusi poliitikaid sisaldasid, kuid selliseid rakendusi liikluses ei tuvastatud. See võimaldab eemaldada liigsed rakendused lubavatest reeglitest.
• Millised poliitikad lubasid kõike, kuid seal olid olulised rakendused, mida oleks hea Zero Trust meetodi kohaselt selgelt näidata.

Kliki Unused.

Kuna näidata, kuidas see töötab, olen lisanud mõned reeglid ja nad pole siiani täna ühtegi paketti läbinud. Siin on nende nimekiri:

Ajan jooksul võivad sinna liiklus ilmuda ja siis nad kaovad sellest nimekirjast. Kui nad selles nimekirjas 90 päeva püsivad, siis võite otsustada need reeglid kustutada. Lõppude lõpuks pakub iga reegel võimaluse häkkerile.

Tegemist on reaalse probleemiga tulekindlustuse seadistamisel: uus töötaja vaatab tulekindlustuse reegleid ja kui neil pole mingeid kommentaare ning ta ei tea, miks see reegel on loodud, kas see on tõeliselt vajalik, kas see saab kustutada: äkki on inimene puhkusele läinud ja 30 päeva pärast tuleb liiklus uuesti teenusest, mida ta vajab. Just see funktsioon aitab tal otsustada — kui keegi ei kasuta — kustuta!

Klõpsame Unused App'il.

Klõpsame optimeerijas Unused App'il ja näeme, et põhiekraanile avatakse huvitav teave.

Näeme, et on kolm reeglit, kus lubatud rakenduste arv ja tõeliselt selle reegli kaudu läinud rakenduste arv erinevad.

Saame klõpsata ja vaadata nende rakenduste nimekirja ning võrrelda neid nimekirju.
Näiteks klõpsame Max reegli jaoks nuppu Compare.

Siit on näha, et facebooki, instagrami, telegrami ja vkontakte rakendused on lubatud. Kuid tegelikult liikus liiklus ainult läbi osa alarakenduste. Siin tuleb mõista, et facebooki rakendus sisaldab mitmeid alarakendusi.

NGFW rakenduste täielikku loetelu saab vaadata portaalist applipedia.paloaltonetworks.com ja ka tulevallkaitse liidese kaudu jaotises Objects->Applications, otsides rakenduse nime: facebook, tuleneb selline tulemus:

Nii et osa neist NGFW alarakendustest on nähtavad, kuid osa ei ole. Tegelikult saate eraldi keelata ja lubada erinevaid facebooki funktsioone. Näiteks lubada sõnumite lugemist, kuid keelata vestlemine või failide edastamine. Vastavalt ütleb Policy Optimizer selle ja saate otsustada: lubada mitte kõiki facebooki rakendusi, vaid ainult põhifunktsioonid.

Nii et oleme aru saanud, et loetelud on erinevad. Saate seadistada nii, et reeglid lubaksid täpselt neid rakendusi, mis tegelikult võrgus töötasid. Selleks klõpsate MatchUsage nuppu. Tulemuseks on järgmine:

Ja samuti saate lisada rakendusi, mida peate vajalikuks — nupp Add akna vasakus osas:

Ja seejärel saab seda reeglit rakendada ja testida. Õnne!

Klickime No Apps Specified.

Sel juhul avaneb oluline turvalisuse tagamise akna.

Tõenäoliselt on teie võrgus palju selliseid reegleid, kus ei ole L7 taseme rakendust selgesõnaliselt määratud. Minu võrgus on samuti selline reegel - meenutan, et seadsin selle üles algse seadistamise ajal, et näidata, kuidas Policy Optimizer töötab.

Pildil on näha, et reegel AllowAll lasi läbi 220 gigabaiti liiklust ajavahemikus 9. märtsist kuni 17. märtsini, mis tähendab, et minu võrgus on kokku 150 erinevat rakendust. Ja see on veel vähe. Tüüpilises keskmise suurusega ettevõtte võrgus on 200-300 erinevat rakendust.

Nii et üks reegel laseb läbi lausa 150 rakendust. See tähendab tavaliselt, et tulemüür on valesti seadistatud, sest tavaliselt läbib ühes reeglis 1-10 rakendust erinevate eesmärkide jaoks. Vaadakem, millised need rakendused on: klikime nuppu Compare:

Policy Optimizeri funktsiooni kõige toredam asi administraatori jaoks on nupp Match Usage — ühe klikiga saate luua reegli, kuhu sisestate kõik 150 rakendust. Käsi, see võtaks piisavalt kaua aega. Tööülesannete arv administraatori jaoks isegi minu 10 seadme võrgus on tohutu.

Minu kodus töötab 150 erinevat rakendust, mis edastavad gigabaitide viisi andmeid! Aga kui palju teil on?

Mis toimub siis 100, 1000 või isegi 10 000 seadme võrgus? Olen näinud tulemüüre, millel on 8000 reeglit, ja olen väga rõõmus, et nüüd on administraatoritel sellised mugavad automatiseerimise vahendid.

Mõned rakendused, mida L7 rakenduse analüüsi moodul NGFW näitas ja mis teile võrgus ei ole vajalikud, võite lihtsalt loata reeglist eemaldada, või kloneerite reegleid nupp Clone (peamisest liidesest) ja ühes reeglis lubate rakendused, samas kui teises blokeerite rakendused, mis teie võrgus ei ole vajalikud. Sellisteks rakendusteks saavad sageli bittorent, steam, ultrasurf, tor, varjatud tunnelid nagu tcp-over-dns ja teised.

Ja klikime teise reegli — mis seal näha on:

Jah, siin on rakendused, mis on iseloomulikud multicast'ile. Peame need lubama, et võrgus videote vaatamine toimiks. Klõpsame Match Usage. Suurepärane! Aitäh Policy Optimizer'i eest.

Ent kuidas on siis Machine Learning?

Praegu on moes rääkida automatiseerimisest. See, mida ma kirjeldasin, on tõeliselt kasulik. On veel üks võimalus, millest ma pean rääkima. See on Machine Learning funktsioon, mis on sisse ehitatud utiliiti Expedition, mida on juba varem mainitud. Selle utiliidi abil on võimalik üle kanda reegleid teie vana tulemüüri tootjalt. Samuti on võimalik analüüsida olemasolevaid Palo Alto Networks'i liikluslogisid ja pakkuda teie jaoks, milliseid reegleid kirjutada. See sarnaneb Policy Optimizer'i funktsioonile, kuid Expeditionis on see veelgi ulatuslikum ja teile pakutakse juba valmis reeglite nimekiri — te peate need vaid kinnitama.
Selle funktsiooni testimiseks on olemas laboritöö — me nimetame seda testdriviks. Selle testi saate teha, minnes virtuaalsetesse tulemüüridesse, mida Palo Alto Networks'i Moskvas asuvad töötajad käivitavad teie soovi korral.

Pöörduda saab aadressil Russia@paloaltonetworks.com ja päringus kirjutada: „Soovin teha UTD Migration Process'i kohta”.

Tegelikult on mitmeid erinevaid laboritöid nimega Unified Test Drive (UTD) ja need on kõik ei ole kaugjuhtimisega saadaval pärast päringut.

Ainult registreeritud kasutajad saavad küsitluses osaleda. Logige sisse, palun.

Kas soovite, et keegi aitaks teil optimeerida teie tulemüüri poliitikaid?

• Jah

• Ei

• Teen ise kõik ära

Keegi ei ole veel hääletanud. Erakondadeta.

Allikas: habr.com