Hogyan értékeljük az NGFW beállításának hatékonyságát
A leggyakoribb feladat az, hogy ellenőrizzük, mennyire hatékonyan van beállítva a tűzfalunk. Erre ingyenes segédprogramok és szolgáltatások állnak rendelkezésre olyan cégektől, amelyek NGFW-vel foglalkoznak.
Például, az alábbiakban látható, hogy a Palo Alto Networks-nak lehetősége van közvetlenül a elindítani a tűzfal statisztikáinak elemzését – SLR jelentés vagy a legjobb gyakorlatokkal való összhang elemzése – BPA jelentés. Ezek ingyenes online segédprogramok, amelyeket telepítés nélkül használhatunk.
TARTALOM
Expedition (Migrációs Eszköz)
Egy bonyolultabb módja a beállításaink ellenőrzésének az ingyenes segédprogram letöltése (korábbi Migrációs Eszköz). Ez egy Virtual Appliance formájában letölthető VMware-hez, telepítésre nincs szükség – csak le kell tölteni a képet és elindítani a VMware hypervisor alatt, majd belépni a webes felületre. Ez a segédprogram külön beszélgetést igényel, hiszen csak az arról szóló kurzus 5 napot vesz igénybe, annyira sok funkció található most benne, beleértve a Gépi Tanulást és a különböző gyártók tűzfalak politikáinak, NAT-jának és objektumainak migrálását. A Gépi Tanulásról később, részletesebben írok.
Politika Optimalizáló
És a legkényelmesebb megoldás (IMO), amiről ma részletesebben beszélni fogok – a politikai optimalizáló, amely a Palo Alto Networks interfészébe van beépítve. Ennek bemutatásához egy tűzfalat telepítettem otthon, és írtam egy egyszerű szabályt: engedélyezni bármit bárkinek. Elvileg ilyen szabályokat néha a vállalati hálózatokban is látok. Természetesen, bekapcsoltam az összes NGFW biztonsági profilt, ahogyan az a képernyőképen is látható:
Az alábbi képernyőképen az én otthoni, nem beállított tűzfalam példája látható, ahol szinte minden kapcsolat a legutolsó szabályba tartozik: AllowAll, amit a statisztikák a Hit Count oszlopban mutatnak.
Zero Trust
Létezik egy biztonsági megközelítés, amelyet . Mit jelent ez: csak azokat a kapcsolódásokat szabad megengednünk a hálózat belsejében lévő embereknek, amelyekre szükségük van, és mindent más hinni tiltanunk. Tehát világos szabályokat kell hozzárendelnünk az alkalmazásokhoz, felhasználókhoz, URL-kategóriákhoz, fájltípusokhoz; be kell kapcsolnunk az összes IPS és antivírus aláírást, bekapcsolni a homokozót, DNS-védelmet alkalmazni, használni az IoC-t a rendelkezésre álló Threat Intelligence adatbázisokból. Összességében a tűzfal beállításakor számos feladat vár ránk.
Egyébként a Palo Alto Networks NGFW szükséges beállításainak minimális készlete egy SANS dokumentumban van leírva: — ajánlom, hogy ezzel kezdje. Természetesen a gyártónál is található egy sor legjobb gyakorlat a tűzfal beállításához: .
Tehát, a tűzfal egy hétig állt otthon. Nézzük meg, milyen forgalom van a hálózatomban:
Ha a sessiók száma szerint rendezzük, akkor a legtöbb sessziót a bittorrent hozza létre, utána jön az SSL, majd a QUIC. Ez együtt mutatja a bejövő és kimenő forgalmat: nagyon sok külső átvizsgálás történik a routeremen. Különböző alkalmazások a hálózatomban — 150.
Tehát, mindezt egy szabályon keresztül engedtük át. Nézzük most, mit mond erről a Policy Optimizer. Ha megnézte a fent látható képernyőképet a biztonsági szabályokról, akkor bal alsó sarokban láthatott egy kis ablakot, ami utal arra, hogy léteznek olyan szabályok, amelyeket érdemes optimalizálni. Kattintsunk oda.
Mit mutat a Policy Optimizer:
- Mely politikák nem voltak használva egyáltalán, 30 napig, 90 napig. Ez segít eldönteni, hogy el kell-e távolítani őket teljesen.
- Mely alkalmazások szerepeltek a politikákban, de a forgalomban nem találhatóak. Ez lehetővé teszi a felesleges alkalmazások eltávolítását a megengedett szabályokból.
- Mely politikák engedélyeztek mindent, de ott valójában olyan alkalmazások is voltak, amelyeket a Zero Trust módszertan szerint jónak lenne kifejezetten megjelölni.
Kattintsunk az Unused-ra.
Hogy bemutassam, hogyan működik, hozzáadtam néhány szabályt, és ezek eddig még egyszer sem engedtek át csomagot ma. Íme a lista:
Lehetséges, hogy idővel ott forgalom fog elmenni, és akkor eltűnnek erről a listáról. Ha 90 napig itt maradnak — dönthet úgy, hogy eltávolítja ezeket a szabályokat. Hiszen minden szabály lehetőséget biztosít a hackereknek.
Valódi probléma létezik a tűzfal konfigurálásakor: új kolléga érkezik, megnézi a tűzfalszabályokat, és ha azoknak nincsenek megjegyzéseik, és nem tudja, miért készítették azt a szabályt, vajon szükség van-e rá, eltávolítható-e: mi van, ha valaki szabadságon van, és 30 nap múlva ismét forgalom indul az ő szükséges szolgáltatásától. Ez a funkció éppen segít neki döntést hozni — senki sem használja — törölni!
Kattintsunk az Unused App-ra.
Az optimalizálóban az Unused App-ra kattintunk, és látjuk, hogy a fő ablakban érdekes információk jelennek meg.
Látjuk, hogy három szabály létezik, ahol a megengedett alkalmazások száma és a valóban áthaladó alkalmazások száma eltér.
Rá tudunk kattintani, és megnézhetjük ezeknek az alkalmazásoknak a listáját, és összehasonlíthatjuk ezeket a listákat.
Például kattintsunk a Compare gombra a Max szabályhoz.
Itt látható, hogy megengedett alkalmazások a Facebook, Instagram, Telegram, Vkontakte. De a forgalom valójában csak néhány alprogramon ment keresztül. Itt fontos megérteni, hogy a Facebook alkalmazás több alprogramot is tartalmaz.
Az NGFW alkalmazások teljes listáját a portálon lehet megtekinteni. és magán az interfészen a Objects->Applications részben, és a keresőbe írja be az alkalmazás nevét: facebook, így fog kinézni az eredmény:
Tehát az NGFW alprogramok egy részét látta, másokat viszont nem. Valójában külön tilthatja és engedélyezheti a Facebook különböző alfunkcióit. Például engedélyezheti az üzenetek megtekintését, de tilthatja a chatet vagy a fájlok átadását. Ennek megfelelően a Policy Optimizer erről tájékoztat, és Ön döntést hozhat: nem az összes Facebook alkalmazást engedélyezni, hanem csak az alapvetőket.
Tehát megértettük, hogy a listák különböznek. Megteheti, hogy a szabályok pontosan azokat az alkalmazásokat engedélyezik, amelyek ténylegesen áthaladtak a hálózaton. Ehhez kattintson a MatchUsage gombra. Így néz ki:
És emellett alkalmazásokat is hozzáadhat, amelyeket szükségesnek tart — a bal oldalán található Add gombbal:
Majd ezt a szabályt alkalmazhatja és tesztelheti. Gratulálok!
Kattintsunk a No Apps Specified gombra.
Ebben az esetben egy fontos biztonsági ablak fog megnyílni.
Valószínűleg az Ön hálózatában nagyon sok olyan szabály van, ahol a L7 szintű alkalmazást nem jelölték meg. Az én hálózatomban is van egy ilyen szabály — emlékeztetem, hogy az első beállításnál létrehoztam, hogy megmutassam, hogyan működik a Policy Optimizer.
A képen látható, hogy az AllowAll szabály 220 gigabájt forgalmat engedett át március 9. és március 17. között, és a hálózatomban összesen 150 különböző alkalmazás van. Ez még mindig kevés. Általában egy közepes méretű vállalati hálózatban 200-300 különböző alkalmazás található.
Tehát egy szabály akár 150 alkalmazást is átenged. Ez általában azt jelenti, hogy a tűzfal beállítása helytelen, mert általában egy szabályban 1-10 alkalmazás engedélyezett különböző célokra. Nézzük meg, mik ezek az alkalmazások: kattintsunk a Compare gombra:
A Policy Optimizer funkció legcsodálatosabb része az Match Usage gomb — egy kattintással létrehozhat egy szabályt, amelybe mind a 150 alkalmazást beírhatja. Ha ezt kézzel kellene megtennie, az meglehetősen időigényes lenne. Az adminisztráló feladatainak száma még a 10 eszközből álló hálózatom esetében is óriási.
Otthon 150 különböző alkalmazás fut, amelyek gigabájtokat küldenek! És Önnek hány van?
Mi történik 100, 1000 vagy akár 10000 eszközből álló hálózatban? Láttam tűzfalakat, ahol 8000 szabály volt, és nagyon örülök, hogy most az adminisztrátorok rendelkeznek ilyen kényelmes automatizálási eszközökkel.
Az L7 alkalmazáselemző modul által látott és bemutatott alkalmazások egy része valószínűleg nem szükséges a hálózatban, így egyszerűen eltávolíthatja őket az engedélyező szabály listájából, vagy klónozhatja a szabályokat a Clone gomb segítségével (a fő felületen), és az egyik szabályban engedélyezheti az alkalmazásokat, míg a másikban blokkolni fogja azokat, amelyek nem szükségesek az Ön hálózatában. Ilyen alkalmazások gyakran a bittorrent, steam, ultrasurf, tor, rejtett alagutak, mint például tcp-over-dns és mások.
Nézzük meg egy másik szabályt — mi látható ott:
Igen, itt multicast-ra jellemző alkalmazások találhatóak. Engedélyeznünk kell őket, hogy a hálózaton videót nézhessünk. Kattintsunk az Match Usage gombra. Remek! Köszönjük, Policy Optimizer.
Mi a helyzet a gépi tanulással?
Manapság divat automatikáról beszélni. Amit eddig leírtam — nagyon hasznos. Van egy másik lehetőség is, amiről beszélnem kell. Ez a gépi tanulás funkció, ami be van építve az Expedition eszközbe, amelyet már említettem. Ebben az eszközben lehetőség van arra, hogy áthozza a szabályokat a régi tűzfaláról egy másik gyártótól. Ráadásul lehetőség van a Palo Alto Networks meglévő forgalmi naplóinak elemzésére és javasolt szabályok készítésére. Ez hasonlít a Policy Optimizer funkciójához, de az Expeditionban még kiterjedtebb, és Ön már egy előre elkészített szabályok listáját kapja — csak jóvá kell hagynia őket.
A funkció tesztelésére laboratóriumi munka áll rendelkezésre - ezt tesztvezetésnek nevezzük. Ezt a tesztet el lehet végezni a virtuális tűzfalakon, amelyeket a Palo Alto Networks moszkvai irodájának munkatársai aktiválnak kérésedre.
A kérdést a Russia@paloaltonetworks.com címre lehet elküldeni, a kérésben írd meg: „Szeretnék UTD-t csinálni a Migration Process keretében.”
Valójában a Unified Test Drive (UTD) néven többféle laboratóriumi munka létezik és mindegyik a kérés után.
Csak a regisztrált felhasználók vehetnek részt a szavazáson. , kérem.
Szeretnéd, ha valaki segítene optimalizálni a tűzfalad politikáit?
Igen
Nem
Mindent megoldok magam.
Még senki sem szavazott. Tartózkodó nincs.
Forrás: habr.com
