एनजीएफडब्ल्यू सेटअप की प्रभावशीलता का मूल्यांकन कैसे करें

सबसे आम कार्य यह जांचना है कि आपका फ़ायरवॉल कितने प्रभावी ढंग से कॉन्फ़िगर किया गया है। ऐसा करने के लिए, एनजीएफडब्ल्यू से निपटने वाली कंपनियों की ओर से मुफ्त उपयोगिताएँ और सेवाएँ उपलब्ध हैं।

उदाहरण के लिए, आप नीचे देख सकते हैं कि पालो अल्टो नेटवर्क में सीधे से क्षमता है समर्थन पोर्टल फ़ायरवॉल आँकड़ों का विश्लेषण चलाएँ - एसएलआर रिपोर्ट या सर्वोत्तम प्रथाओं के अनुपालन का विश्लेषण - बीपीए रिपोर्ट। ये मुफ़्त ऑनलाइन उपयोगिताएँ हैं जिनका उपयोग आप बिना कुछ भी इंस्टॉल किए कर सकते हैं।

सामग्री

अभियान (प्रवासन उपकरण)
नीति अनुकूलक
जीरो ट्रस्ट
अप्रयुक्त पर क्लिक करें
अनयूज्ड ऐप पर क्लिक करें
कोई ऐप्स निर्दिष्ट नहीं पर क्लिक करें
मशीन लर्निंग के बारे में क्या?
यूना

अभियान (प्रवासन उपकरण)

अपनी सेटिंग्स की जाँच करने के लिए एक अधिक जटिल विकल्प एक निःशुल्क उपयोगिता डाउनलोड करना है अभियान (पूर्व में माइग्रेशन टूल)। इसे VMware के लिए एक वर्चुअल उपकरण के रूप में डाउनलोड किया जाता है, इसके साथ किसी सेटिंग की आवश्यकता नहीं होती है - आपको छवि को डाउनलोड करना होगा और इसे VMware हाइपरवाइजर के तहत तैनात करना होगा, इसे लॉन्च करना होगा और वेब इंटरफ़ेस पर जाना होगा। इस उपयोगिता के लिए एक अलग कहानी की आवश्यकता है, केवल इस पर पाठ्यक्रम में 5 दिन लगते हैं, अब बहुत सारे कार्य हैं, जिनमें मशीन लर्निंग और विभिन्न फ़ायरवॉल निर्माताओं के लिए नीतियों, एनएटी और ऑब्जेक्ट्स के विभिन्न कॉन्फ़िगरेशन का माइग्रेशन शामिल है। मैं नीचे पाठ में मशीन लर्निंग के बारे में और अधिक लिखूंगा।

नीति अनुकूलक

और सबसे सुविधाजनक विकल्प (आईएमएचओ), जिसके बारे में मैं आज आपको अधिक विस्तार से बताऊंगा, वह पालो ऑल्टो नेटवर्क इंटरफ़ेस में निर्मित नीति अनुकूलक है। इसे प्रदर्शित करने के लिए, मैंने घर पर एक फ़ायरवॉल स्थापित किया और एक सरल नियम लिखा: किसी को भी अनुमति दें। सिद्धांत रूप में, मैं कभी-कभी कॉर्पोरेट नेटवर्क में भी ऐसे नियम देखता हूं। स्वाभाविक रूप से, मैंने सभी एनजीएफडब्ल्यू सुरक्षा प्रोफ़ाइल सक्षम की हैं, जैसा कि आप स्क्रीनशॉट में देख सकते हैं:


नीचे दिया गया स्क्रीनशॉट मेरे घर के अपुष्ट फ़ायरवॉल का एक उदाहरण दिखाता है, जहां लगभग सभी कनेक्शन अंतिम नियम में आते हैं: सभी को अनुमति दें, जैसा कि हिट काउंट कॉलम में आंकड़ों से देखा जा सकता है।

जीरो ट्रस्ट

सुरक्षा के प्रति एक दृष्टिकोण कहा जाता है जीरो ट्रस्ट. इसका क्या मतलब है: हमें नेटवर्क के भीतर लोगों को ठीक उन्हीं कनेक्शनों की अनुमति देनी चाहिए जिनकी उन्हें आवश्यकता है और बाकी सभी चीज़ों से इनकार करना चाहिए। अर्थात्, हमें एप्लिकेशन, उपयोगकर्ताओं, URL श्रेणियों, फ़ाइल प्रकारों के लिए स्पष्ट नियम जोड़ने की आवश्यकता है; सभी आईपीएस और एंटीवायरस हस्ताक्षर सक्षम करें, सैंडबॉक्सिंग, डीएनएस सुरक्षा सक्षम करें, उपलब्ध थ्रेट इंटेलिजेंस डेटाबेस से आईओसी का उपयोग करें। सामान्य तौर पर, फ़ायरवॉल स्थापित करते समय पर्याप्त संख्या में कार्य होते हैं।

वैसे, पालो ऑल्टो नेटवर्क्स एनजीएफडब्ल्यू के लिए आवश्यक सेटिंग्स का न्यूनतम सेट SANS दस्तावेज़ों में से एक में वर्णित है: पालो ऑल्टो नेटवर्क सुरक्षा कॉन्फ़िगरेशन बेंचमार्क - मैं इसके साथ शुरुआत करने की सलाह देता हूं। और निश्चित रूप से, निर्माता की ओर से फ़ायरवॉल स्थापित करने के लिए सर्वोत्तम प्रथाओं का एक सेट मौजूद है: बेस्ट प्रैक्टिस.

इसलिए, मेरे पास एक सप्ताह के लिए घर पर फ़ायरवॉल था। आइए देखें कि मेरे नेटवर्क पर किस प्रकार का ट्रैफ़िक है:


यदि आप सत्रों की संख्या के आधार पर क्रमबद्ध करते हैं, तो उनमें से अधिकांश बिटोरेंट द्वारा बनाए गए हैं, फिर एसएसएल आता है, फिर क्विक आता है। ये इनकमिंग और आउटगोइंग दोनों ट्रैफ़िक के आँकड़े हैं: मेरे राउटर के बहुत सारे बाहरी स्कैन हैं। मेरे नेटवर्क पर 150 विभिन्न एप्लिकेशन हैं।

तो, यह सब एक नियम से छूट गया। आइए अब देखें कि पॉलिसी ऑप्टिमाइज़र इस बारे में क्या कहता है। यदि आपने ऊपर सुरक्षा नियमों वाले इंटरफ़ेस के स्क्रीनशॉट को देखा, तो नीचे बाईं ओर आपको एक छोटी सी विंडो दिखाई दी जो मुझे संकेत देती है कि ऐसे नियम हैं जिन्हें अनुकूलित किया जा सकता है। आइए वहां क्लिक करें.

नीति अनुकूलक क्या दिखाता है:

• कौन सी पॉलिसियों का बिल्कुल भी उपयोग नहीं किया गया, 30 दिन, 90 दिन। इससे उन्हें पूरी तरह से हटाने का निर्णय लेने में मदद मिलती है।
• नीतियों में कौन से एप्लिकेशन निर्दिष्ट किए गए थे, लेकिन ट्रैफ़िक में ऐसे कोई एप्लिकेशन नहीं पाए गए। यह आपको अनुमति नियमों में अनावश्यक अनुप्रयोगों को हटाने की अनुमति देता है।
• किन नीतियों ने हर चीज़ की अनुमति दी, लेकिन वास्तव में ऐसे अनुप्रयोग थे जिन्हें जीरो ट्रस्ट पद्धति के अनुसार स्पष्ट रूप से इंगित करना अच्छा होता।

आइए Unused पर क्लिक करें।

यह कैसे काम करता है यह दिखाने के लिए, मैंने कुछ नियम जोड़े और अब तक उन्होंने आज एक भी पैकेट नहीं छोड़ा है। यहाँ उनकी सूची है:

शायद समय के साथ वहां ट्रैफिक बढ़ जाएगा और फिर वे इस सूची से गायब हो जाएंगे। और यदि वे 90 दिनों तक इस सूची में हैं, तो आप इन नियमों को हटाने का निर्णय ले सकते हैं। आख़िरकार, हर नियम एक हैकर के लिए एक अवसर प्रदान करता है।

फ़ायरवॉल को कॉन्फ़िगर करते समय एक वास्तविक समस्या होती है: एक नया कर्मचारी आता है, फ़ायरवॉल नियमों को देखता है, यदि उनके पास कोई टिप्पणी नहीं है और वह नहीं जानता कि यह नियम क्यों बनाया गया था, क्या इसकी वास्तव में आवश्यकता है, क्या यह हो सकता है हटा दिया जाए: अचानक व्यक्ति छुट्टी पर हो और 30 दिनों के भीतर, उसे जिस सेवा की आवश्यकता हो, उस पर ट्रैफ़िक फिर से प्रवाहित हो जाएगा। और बस यही फ़ंक्शन उसे निर्णय लेने में मदद करता है - कोई भी इसका उपयोग नहीं करता है - इसे हटा दें!

अनयूज्ड ऐप पर क्लिक करें।

हम ऑप्टिमाइज़र में अनयूज्ड ऐप पर क्लिक करते हैं और देखते हैं कि मुख्य विंडो में दिलचस्प जानकारी खुलती है।

हम देखते हैं कि तीन नियम हैं, जहां स्वीकृत आवेदनों की संख्या और वास्तव में इस नियम को पारित करने वाले आवेदनों की संख्या अलग-अलग है।

हम क्लिक करके इन एप्लिकेशन की सूची देख सकते हैं और इन सूचियों की तुलना कर सकते हैं।
उदाहरण के लिए, अधिकतम नियम के लिए तुलना बटन पर क्लिक करें।

यहां आप देख सकते हैं कि फेसबुक, इंस्टाग्राम, टेलीग्राम, vkontakte एप्लिकेशन को अनुमति दी गई थी। लेकिन वास्तव में, ट्रैफ़िक केवल कुछ उप-अनुप्रयोगों तक ही गया। यहां आपको यह समझने की जरूरत है कि फेसबुक एप्लिकेशन में कई उप-एप्लिकेशन शामिल हैं।

एनजीएफडब्ल्यू आवेदनों की पूरी सूची पोर्टल पर देखी जा सकती है Applipedia.paloaltonetworks.com और फ़ायरवॉल इंटरफ़ेस में ही, ऑब्जेक्ट->एप्लिकेशन अनुभाग में और खोज में, एप्लिकेशन का नाम टाइप करें: फेसबुक, आपको निम्नलिखित परिणाम मिलेगा:

तो, इनमें से कुछ उप-अनुप्रयोग एनजीएफडब्ल्यू द्वारा देखे गए, लेकिन कुछ नहीं। दरअसल, आप फेसबुक के अलग-अलग उप-कार्यों को अलग से प्रतिबंधित और अनुमति दे सकते हैं। उदाहरण के लिए, संदेश देखने की अनुमति दें, लेकिन चैट या फ़ाइल स्थानांतरण पर रोक लगाएं। तदनुसार, पॉलिसी ऑप्टिमाइज़र इस बारे में बात करता है और आप निर्णय ले सकते हैं: सभी फेसबुक एप्लिकेशन को अनुमति न दें, बल्कि केवल मुख्य एप्लिकेशन को अनुमति दें।

तो, हमें एहसास हुआ कि सूचियाँ अलग-अलग हैं। आप यह सुनिश्चित कर सकते हैं कि नियम केवल उन्हीं एप्लिकेशन को अनुमति देते हैं जो वास्तव में नेटवर्क पर यात्रा करते हैं। ऐसा करने के लिए आप मैचयूजेज बटन पर क्लिक करें। यह इस प्रकार निकला:

और आप उन एप्लिकेशन को भी जोड़ सकते हैं जिन्हें आप आवश्यक मानते हैं - विंडो के बाईं ओर जोड़ें बटन:

और फिर इस नियम को लागू और परीक्षण किया जा सकता है। बधाई हो!

कोई ऐप्स निर्दिष्ट नहीं पर क्लिक करें.

इस स्थिति में, एक महत्वपूर्ण सुरक्षा विंडो खुल जाएगी।

आपके नेटवर्क में संभवतः बहुत सारे ऐसे नियम हैं जहां L7 स्तर का एप्लिकेशन स्पष्ट रूप से निर्दिष्ट नहीं है। और मेरे नेटवर्क में ऐसा एक नियम है - मैं आपको याद दिला दूं कि मैंने इसे शुरुआती सेटअप के दौरान बनाया था, विशेष रूप से यह दिखाने के लिए कि पॉलिसी ऑप्टिमाइज़र कैसे काम करता है।

तस्वीर से पता चलता है कि 9 मार्च से 17 मार्च की अवधि में अलाउऑल नियम ने 220 गीगाबाइट ट्रैफ़िक की अनुमति दी, जो कि मेरे नेटवर्क में 150 विभिन्न एप्लिकेशन हैं। और यह पर्याप्त नहीं है. आमतौर पर, एक औसत आकार के कॉर्पोरेट नेटवर्क में 200-300 विभिन्न एप्लिकेशन होते हैं।

तो, एक नियम से 150 से अधिक आवेदनों की अनुमति मिलती है। आमतौर पर इसका मतलब यह है कि फ़ायरवॉल सही ढंग से कॉन्फ़िगर नहीं किया गया है, क्योंकि आमतौर पर एक नियम विभिन्न उद्देश्यों के लिए 1-10 अनुप्रयोगों की अनुमति देता है। आइए देखें कि ये एप्लिकेशन क्या हैं: तुलना बटन पर क्लिक करें:

पॉलिसी ऑप्टिमाइज़र फ़ंक्शन में एक व्यवस्थापक के लिए सबसे अद्भुत चीज़ मिलान उपयोग बटन है - आप एक क्लिक से एक नियम बना सकते हैं, जहां आप सभी 150 एप्लिकेशन को नियम में दर्ज करेंगे। इसे मैन्युअल रूप से करने में काफी लंबा समय लगेगा। मेरे 10 उपकरणों के नेटवर्क पर भी, एक प्रशासक के लिए काम करने की संख्या बहुत अधिक है।

मेरे पास घर पर 150 अलग-अलग एप्लिकेशन चल रहे हैं, जो गीगाबाइट ट्रैफ़िक स्थानांतरित कर रहे हैं! और आपके पास कितना है?

लेकिन 100 डिवाइस या 1000 या 10000 के नेटवर्क में क्या होता है? मैंने 8000 नियमों वाले फ़ायरवॉल देखे हैं और मुझे बहुत खुशी है कि प्रशासकों के पास अब ऐसे सुविधाजनक स्वचालन उपकरण हैं।

एनजीएफडब्ल्यू में एल7 एप्लिकेशन विश्लेषण मॉड्यूल ने जो एप्लिकेशन देखे और दिखाए उनमें से कुछ की आपको नेटवर्क पर आवश्यकता नहीं होगी, इसलिए आप बस उन्हें अनुमति नियमों की सूची से हटा दें, या क्लोन बटन (मुख्य इंटरफ़ेस में) का उपयोग करके नियमों को क्लोन करें और उन्हें एक एप्लिकेशन नियम में अनुमति दें, और आप अन्य एप्लिकेशन को ब्लॉक कर देंगे क्योंकि निश्चित रूप से आपके नेटवर्क पर उनकी आवश्यकता नहीं है। ऐसे अनुप्रयोगों में अक्सर बिटोरेंट, स्टीम, अल्ट्रासर्फ, टोर, छिपी हुई सुरंगें जैसे टीसीपी-ओवर-डीएनएस और अन्य शामिल होते हैं।

खैर, आइए दूसरे नियम पर क्लिक करें और देखें कि आप वहां क्या देख सकते हैं:

हाँ, मल्टीकास्ट के लिए विशिष्ट अनुप्रयोग मौजूद हैं। हमें उन्हें काम करने के लिए ऑनलाइन वीडियो देखने की अनुमति देनी चाहिए। उपयोग मिलान पर क्लिक करें. महान! धन्यवाद नीति अनुकूलक.

मशीन लर्निंग के बारे में क्या?

अब ऑटोमेशन के बारे में बात करना फैशनेबल हो गया है। मैंने जो वर्णन किया वह सामने आया - इससे बहुत मदद मिलती है। एक और संभावना है जिसके बारे में मुझे बात करनी चाहिए। यह एक्सपीडिशन उपयोगिता में निर्मित मशीन लर्निंग कार्यक्षमता है, जिसका उल्लेख पहले ही ऊपर किया जा चुका है। इस उपयोगिता में, आपके पुराने फ़ायरवॉल से किसी अन्य निर्माता के नियमों को स्थानांतरित करना संभव है। मौजूदा पालो ऑल्टो नेटवर्क ट्रैफ़िक लॉग का विश्लेषण करने और सुझाव देने की क्षमता भी है कि कौन से नियम लिखे जाएं। यह पॉलिसी ऑप्टिमाइज़र की कार्यक्षमता के समान है, लेकिन एक्सपीडिशन में इसे और भी अधिक विस्तारित किया गया है और आपको तैयार नियमों की एक सूची पेश की जाती है - आपको बस उन्हें अनुमोदित करने की आवश्यकता है।
इस कार्यक्षमता का परीक्षण करने के लिए, एक प्रयोगशाला कार्य होता है - हम इसे टेस्ट ड्राइव कहते हैं। यह परीक्षण वर्चुअल फ़ायरवॉल में लॉग इन करके किया जा सकता है, जिसे मॉस्को में पालो अल्टो नेटवर्क कार्यालय के कर्मचारी आपके अनुरोध पर लॉन्च करेंगे।

अनुरोध भेजा जा सकता है [ईमेल संरक्षित] और अनुरोध में लिखें: "मैं प्रवासन प्रक्रिया के लिए एक यूटीडी बनाना चाहता हूं।"

वास्तव में, यूनिफाइड टेस्ट ड्राइव (यूटीडी) नामक प्रयोगशाला कार्य में कई विकल्प होते हैं और उनमें से सभी होते हैं दूर से उपलब्ध है अनुरोध के बाद.

केवल पंजीकृत उपयोगकर्ता ही सर्वेक्षण में भाग ले सकते हैं। साइन इन करेंकृपया।

क्या आप चाहेंगे कि कोई आपकी फ़ायरवॉल नीतियों को अनुकूलित करने में आपकी सहायता करे?

• Да

• नहीं

• मैं यह सब स्वयं कर लूंगा

अभी तक किसी ने वोट नहीं दिया है. कोई परहेज नहीं है.

स्रोत: www.habr.com