{"id":29980,"date":"2019-10-31T21:32:59","date_gmt":"2019-10-31T18:32:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/optimizator-politik-bezopasnosti-palo-alto-networks-ngfw\/"},"modified":"2019-10-31T21:32:59","modified_gmt":"2019-10-31T18:32:59","slug":"optimizator-politik-bezopasnosti-palo-alto-networks-ngfw","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/optimizator-politik-bezopasnosti-palo-alto-networks-ngfw","title":{"rendered":"Optimiseur de politiques de s\u00e9curit\u00e9 Palo Alto Networks NGFW","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Comment \u00e9valuer l'efficacit\u00e9 de la configuration NGFW<\/h1>\n

\nLa t\u00e2che la plus fr\u00e9quente consiste \u00e0 v\u00e9rifier l'efficacit\u00e9 de votre pare-feu. Pour cela, il existe des outils et services gratuits propos\u00e9s par des entreprises sp\u00e9cialis\u00e9es dans les NGFW. <\/p>\n

Par exemple, ci-dessous, on peut voir que l'entreprise Palo Alto Networks offre la possibilit\u00e9 directement depuis le portail de support<\/a><\/noindex> de lancer une analyse des statistiques du pare-feu \u2014 rapport SLR ou analyse de conformit\u00e9 aux meilleures pratiques \u2014 rapport BPA. Ce sont des outils en ligne gratuits, qui peuvent \u00eatre utilis\u00e9s sans installation.
\n\"Optimiseur <\/a><\/noindex><\/p>\n

CONTENU<\/h3>\n

\nExpedition (Outil de migration)<\/a><\/noindex>
\nOptimiseur de politiques<\/a><\/noindex>
\nZero Trust<\/a><\/noindex>
\nCliquons sur Unused<\/a><\/noindex>
\nCliquons sur Unused App<\/a><\/noindex>
\nCliquons sur No Apps Specified<\/a><\/noindex>
\nEt qu'en est-il de l'apprentissage automatique<\/a><\/noindex>
\nUTD<\/a><\/noindex><\/p>\n

<\/a><\/noindex><\/p>\n

Expedition (Outil de migration)<\/h2>\n

\n\"Optimiseur
\n
\nUne option plus complexe pour v\u00e9rifier vos configurations \u2014 t\u00e9l\u00e9charger un outil gratuit Expedition<\/a><\/noindex> (anciennement Outil de migration). Il se t\u00e9l\u00e9charge comme appliance virtuelle sous VMware, aucune configuration n'est requise \u2014 il suffit de t\u00e9l\u00e9charger l'image et de la d\u00e9ployer sous l'hyperviseur VMware, de l'ex\u00e9cuter et d'acc\u00e9der \u00e0 l'interface web. Cet outil m\u00e9rite un d\u00e9veloppement distinct, rien que le cours \u00e0 son sujet dure 5 jours, tant il y a de fonctions actuellement, y compris l'apprentissage automatique et la migration de diverses configurations de politiques, NAT et objets pour diff\u00e9rents fabricants de pare-feu. Je reviendrai sur l'apprentissage automatique plus en d\u00e9tail plus bas dans le texte.<\/p>\n

<\/a><\/noindex><\/p>\n

Optimiseur de politiques<\/h2>\n

\nEt la solution la plus pratique (IMHO), dont je parlerai aujourd'hui en d\u00e9tail \u2014 l'optimiseur de politiques int\u00e9gr\u00e9 directement dans l'interface de Palo Alto Networks. Pour le d\u00e9montrer, j'ai install\u00e9 un pare-feu chez moi et \u00e9crit une simple r\u00e8gle : permettre tout vers tout. En principe, je vois parfois de telles r\u00e8gles m\u00eame dans des r\u00e9seaux d'entreprise. \u00c9videmment, j'ai activ\u00e9 tous les profils de s\u00e9curit\u00e9 NGFW, comme on peut le voir dans la capture d'\u00e9cran :
\n\"Optimiseur
\n
\nSur la capture d'\u00e9cran ci-dessous, un exemple de mon pare-feu domestique non configur\u00e9 est montr\u00e9, o\u00f9 presque toutes les connexions tombent dans la derni\u00e8re r\u00e8gle : AllowAll, ce qui est visible dans les statistiques de la colonne Hit Count.
\n\"Optimiseur
\n
\n<\/a><\/noindex><\/p>\n

Zero Trust<\/h2>\n

\nIl existe une approche de la s\u00e9curit\u00e9 appel\u00e9e Zero Trust<\/a><\/noindex>. Cela signifie que nous devons autoriser les connexions n\u00e9cessaires pour les personnes au sein du r\u00e9seau et interdire toutes les autres. En d'autres termes, nous devons ajouter des r\u00e8gles claires concernant les applications, les utilisateurs, les cat\u00e9gories d'URL, les types de fichiers ; inclure toutes les signatures IPS et antivirus, activer le sandboxing, la protection DNS, utiliser les IoC provenant des bases disponibles de Threat Intelligence. En somme, il y a un bon nombre de t\u00e2ches \u00e0 accomplir lors de la configuration d'un pare-feu. <\/p>\n

\u00c0 propos, l'ensemble minimum de configurations n\u00e9cessaires pour le Palo Alto Networks NGFW est d\u00e9crit dans l'un des documents SANS : Palo Alto Networks Security Configuration Benchmark<\/a><\/noindex> \u2014 je recommande de commencer par cela. Et bien s\u00fbr, il existe un ensemble de meilleures pratiques pour la configuration du pare-feu de la part du fabricant : Best Practice<\/a><\/noindex>.<\/p>\n

Donc, j'ai eu un pare-feu \u00e0 la maison pendant une semaine. Voyons quel trafic il y a dans mon r\u00e9seau :
\n\"Optimiseur
\n
\nSi nous trions par nombre de sessions, le plus de sessions sont cr\u00e9\u00e9es par bittorent, suivi de SSL, puis QUIC. Cela inclut des statistiques sur le trafic entrant et sortant : il y a beaucoup de scans externes de mon routeur. Il y a 150 applications diff\u00e9rentes dans mon r\u00e9seau. <\/p>\n

Tout cela a \u00e9t\u00e9 autoris\u00e9 par une seule r\u00e8gle. Regardons maintenant ce que le Policy Optimizer en dit. Si vous avez regard\u00e9 ci-dessus la capture d'\u00e9cran de l'interface avec les r\u00e8gles de s\u00e9curit\u00e9, vous avez vu en bas \u00e0 gauche une petite fen\u00eatre qui me sugg\u00e8re qu'il existe des r\u00e8gles qui peuvent \u00eatre optimis\u00e9es. Cliquons l\u00e0-dessus.<\/p>\n

Que montre le Policy Optimizer :<\/p>\n