כיצד להעריך את היעילות של הגדרת NGFW

המשימה הנפוצה ביותר היא לבדוק באיזו יעילות מוגדרת חומת האש שלך. לשם כך, ישנם שירותים ושירותים בחינם מחברות העוסקות ב-NGFW.

לדוגמה, אתה יכול לראות למטה שלפאלו אלטו נטוורקס יש את היכולת ישירות מ פורטל תמיכה להפעיל ניתוח סטטיסטיקות של חומת אש - דוח SLR או ניתוח של עמידה בשיטות עבודה מומלצות - דוח BPA. אלו הם כלי עזר מקוונים בחינם שתוכלו להשתמש בהם מבלי להתקין דבר.

תוכן

משלחת (כלי הגירה)
כלי אופטימיזציית מדיניות
אפס אמון
לחץ על לא בשימוש
לחץ על אפליקציה שאינה בשימוש
לחץ על אין אפליקציות שצוינו
מה לגבי למידת מכונה?
UTD

משלחת (כלי הגירה)

אפשרות מורכבת יותר לבדיקת ההגדרות שלך היא להוריד כלי חינמי Expedition (לשעבר כלי הגירה). הוא מוריד כ-Virtual Appliance עבור VMware, אין צורך בהגדרות איתו - אתה צריך להוריד את התמונה ולפרוס אותה תחת ה-Hypervisor של VMware, להפעיל אותו ולעבור לממשק האינטרנט. כלי השירות הזה דורש סיפור נפרד, רק שהקורס עליו לוקח 5 ימים, יש כל כך הרבה פונקציות עכשיו, כולל למידת מכונה והגירה של תצורות שונות של מדיניות, NAT ואובייקטים עבור יצרני חומת אש שונים. אכתוב עוד על Machine Learning בהמשך הטקסט.

כלי אופטימיזציית מדיניות

והאופציה הנוחה ביותר (IMHO), עליה אספר לכם בהרחבה היום, היא מייעול המדיניות המובנה בממשק Palo Alto Networks עצמו. כדי להדגים את זה, התקנתי חומת אש בבית וכתבתי כלל פשוט: אפשר כל לכל. באופן עקרוני, אני רואה לפעמים כללים כאלה גם ברשתות ארגוניות. באופן טבעי, אפשרתי את כל פרופילי האבטחה של NGFW, כפי שניתן לראות בצילום המסך:


צילום המסך למטה מציג דוגמה של חומת אש לא מוגדרת בבית שלי, שבה כמעט כל החיבורים נכנסים לכלל האחרון: AllowAll, כפי שניתן לראות מהסטטיסטיקה בעמודה ספירת כניסות.

אפס אמון

יש גישה לאבטחה שנקראת אפס אמון. מה זה אומר: עלינו לאפשר לאנשים בתוך הרשת בדיוק את אותם חיבורים שהם צריכים ולהכחיש את כל השאר. כלומר, עלינו להוסיף כללים ברורים ליישומים, משתמשים, קטגוריות URL, סוגי קבצים; אפשר את כל חתימות ה-IPS והאנטי-וירוס, אפשר ארגז חול, הגנת DNS, השתמש ב-IoC ממסדי הנתונים הזמינים של Threat Intelligence. באופן כללי, יש מספר הגון של משימות בעת הגדרת חומת אש.

אגב, ערכת ההגדרות המינימלית הנחוצה עבור Palo Alto Networks NGFW מתוארת באחד ממסמכי SANS: Benchmark תצורת אבטחה של Palo Alto Networks - אני ממליץ להתחיל עם זה. וכמובן, יש קבוצה של שיטות עבודה מומלצות להגדרת חומת אש מהיצרן: התרגול הטוב ביותר.

אז, היה לי חומת אש בבית במשך שבוע. בוא נראה איזה סוג של תעבורה יש ברשת שלי:


אם אתה ממיין לפי מספר הפעלות, אז רובם נוצרים על ידי bittorent, ואז מגיע SSL, ואז QUIC. אלו הן סטטיסטיקות עבור תנועה נכנסת ויוצאת: יש הרבה סריקות חיצוניות של הנתב שלי. יש 150 יישומים שונים ברשת שלי.

אז כל זה הוחמיץ על ידי כלל אחד. בוא נראה עכשיו מה אומר על זה כלי אופטימיזציית המדיניות. אם הסתכלתם למעלה בצילום המסך של הממשק עם כללי אבטחה, אז בצד שמאל למטה ראיתם חלון קטן שרומז לי שיש כללים שניתן לבצע אופטימיזציה. בוא נלחץ שם.

מה מציג כלי אופטימיזציית המדיניות:

• באילו פוליסות לא נעשה שימוש כלל, 30 יום, 90 יום. זה עוזר לקבל את ההחלטה להסיר אותם לחלוטין.
• אילו יישומים צוינו במדיניות, אך לא זוהו יישומים כאלה בתעבורה. זה מאפשר לך להסיר יישומים מיותרים בכללי אישור.
• אילו פוליסות אפשרו הכל, אבל היו בעצם יישומים שהיה נחמד לציין במפורש לפי מתודולוגיית Zero Trust.

בואו נלחץ על Unused.

כדי להראות איך זה עובד, הוספתי כמה כללים ועד כה הם לא החמיצו חבילה אחת היום. הנה הרשימה שלהם:

אולי עם הזמן תהיה שם תנועה ואז הם ייעלמו מהרשימה הזו. ואם הם ברשימה הזו במשך 90 יום, אז אתה יכול להחליט למחוק את הכללים האלה. אחרי הכל, כל כלל מספק הזדמנות להאקר.

יש בעיה אמיתית בהגדרת חומת אש: עובד חדש מגיע, מסתכל על חוקי חומת האש, אם אין לו הערות והוא לא יודע למה הכלל הזה נוצר, האם זה באמת נחוץ, האם הוא יכול להימחק: פתאום האדם בחופשה ואחרי תוך 30 יום, התנועה תזרום שוב מהשירות שהוא צריך. ורק הפונקציה הזו עוזרת לו לקבל החלטה – אף אחד לא משתמש בה – מחק אותה!

לחץ על אפליקציה לא בשימוש.

אנו לוחצים על Unused App באופטימיזר ורואים שמידע מעניין נפתח בחלון הראשי.

אנו רואים שיש שלושה כללים, שבהם מספר הבקשות המותרות ומספר הבקשות שעברו בפועל את הכלל הזה שונים.

אנו יכולים ללחוץ ולראות רשימה של יישומים אלה ולהשוות רשימות אלה.
לדוגמה, לחץ על כפתור השווה עבור כלל המקסימום.

כאן אתה יכול לראות שהאפליקציות פייסבוק, אינסטגרם, טלגרם, vkontakte הורשו. אבל במציאות, התעבורה עברה רק לחלק מיישומי המשנה. כאן אתה צריך להבין שאפליקציית הפייסבוק מכילה מספר יישומי משנה.

את כל רשימת יישומי NGFW ניתן לראות בפורטל applipedia.paloaltonetworks.com ובממשק חומת האש עצמו, בקטע אובייקטים->יישומים ובחיפוש, הקלידו את שם האפליקציה: facebook, תקבלו את התוצאה הבאה:

אז חלק מיישומי המשנה הללו נראו על ידי NGFW, אבל חלק לא. למעשה, אתה יכול בנפרד לאסור ולאפשר פונקציות משנה שונות של פייסבוק. לדוגמה, אפשר לצפות בהודעות, אבל לאסור צ'אט או העברת קבצים. בהתאם לכך, Policy Optimizer מדבר על זה ואתה יכול לקבל החלטה: לא לאפשר את כל האפליקציות של פייסבוק, אלא רק את העיקריות שבהן.

אז הבנו שהרשימות שונות. אתה יכול לוודא שהכללים מאפשרים רק את האפליקציות שנוסעות בפועל ברשת. כדי לעשות זאת, לחץ על כפתור MatchUsage. זה יוצא כך:

ואתה יכול גם להוסיף יישומים שאתה רואה צורך - כפתור הוסף בצד שמאל של החלון:

ואז ניתן ליישם ולבדוק את הכלל הזה. מזל טוב!

לחץ על אין אפליקציות שצוינו.

במקרה זה, ייפתח חלון אבטחה חשוב.

סביר להניח שיש הרבה כללים כאלה ברשת שלך שבהם היישום ברמת L7 לא מצוין במפורש. וברשת שלי יש כלל כזה - הרשו לי להזכיר לכם שהכנתי אותו במהלך ההגדרה הראשונית, במיוחד כדי להראות כיצד אופטימיזציית המדיניות עובד.

התמונה מראה שכלל AllowAll אפשר 9 גיגה-בייט של תעבורה בתקופה שבין ה-17 במרץ ל-220 במרץ, שהם 150 יישומים שונים ברשת שלי. וזה לא מספיק. בדרך כלל, לרשת ארגונית בגודל ממוצע יש 200-300 יישומים שונים.

אז, כלל אחד מעביר עד 150 יישומים. בדרך כלל זה אומר שחומת האש אינה מוגדרת כהלכה, מכיוון שבדרך כלל כלל אחד מאפשר 1-10 יישומים למטרות שונות. בוא נראה מהן היישומים האלה: לחץ על כפתור השווה:

הדבר הנפלא ביותר עבור מנהל בפונקציית ה-Policy Optimizer הוא כפתור Match Usage - ניתן ליצור כלל בלחיצה אחת, בו תכניס את כל 150 האפליקציות לכלל. לעשות זאת באופן ידני ייקח די הרבה זמן. מספר המשימות שעל מנהלן לעבוד עליהן, אפילו ברשת המונה 10 מכשירים שלי, הוא עצום.

יש לי 150 אפליקציות שונות שפועלות בבית, ומעבירות ג'יגה-בייט של תעבורה! וכמה יש לך?

אבל מה קורה ברשת של 100 מכשירים או 1000 או 10000? ראיתי חומות אש עם 8000 כללים ואני מאוד שמח שלמנהלים יש כעת כלי אוטומציה נוחים כל כך.

חלק מהיישומים שמודול ניתוח האפליקציות L7 ב-NGFW ראה והראה לא תזדקק לרשת, אז אתה פשוט מסיר אותם מרשימת הכללים המאפשרים, או משכפל את הכללים באמצעות כפתור Clone (בממשק הראשי) ו אפשר אותם בכלל יישום אחד, וב- אתה תחסום יישומים אחרים מכיוון שהם בהחלט לא נחוצים ברשת שלך. יישומים כאלה כוללים לרוב bittorent, steam, ultrasurf, tor, מנהרות נסתרות כגון tcp-over-dns ואחרים.

ובכן, בוא נלחץ על כלל אחר ונראה מה אתה יכול לראות שם:

כן, יש יישומים אופייניים לריבוי שידורים. עלינו לאפשר להם לצפייה בסרטונים מקוונים לעבוד. לחץ על התאם שימוש. גדול! תודה כלי ייעול המדיניות.

מה לגבי למידת מכונה?

עכשיו זה אופנתי לדבר על אוטומציה. מה שתיארתי יצא - זה עוזר מאוד. יש עוד אפשרות אחת שאני צריך לדבר עליה. זוהי הפונקציונליות של Machine Learning המובנית בכלי השירות Expedition, שכבר הוזכרה לעיל. בכלי שירות זה, ניתן להעביר כללים מחומת האש הישנה שלך מיצרן אחר. יש גם את היכולת לנתח את יומני התעבורה הקיימים של Palo Alto Networks ולהציע אילו כללים לכתוב. זה דומה לפונקציונליות של Policy Optimizer, אבל ב-Expedition הוא מורחב עוד יותר ומוצעת לך רשימה של כללים מוכנים - אתה רק צריך לאשר אותם.
כדי לבדוק את הפונקציונליות הזו, יש עבודת מעבדה - אנחנו קוראים לזה נסיעת מבחן. בדיקה זו יכולה להיעשות על ידי כניסה לחומת אש וירטואלית, שעובדי משרד Palo Alto Networks במוסקבה ישיקו לבקשתך.

את הבקשה ניתן לשלוח אל [מוגן בדוא"ל] ובבקשה כתוב: "אני רוצה לעשות UTD לתהליך ההגירה."

למעשה, לעבודת מעבדה הנקראת Unified Test Drive (UTD) יש כמה אפשרויות וכולן זמין מרחוק לאחר בקשה.

רק משתמשים רשומים יכולים להשתתף בסקר. להתחברבבקשה.

האם תרצה שמישהו יעזור לך לייעל את מדיניות חומת האש שלך?

• כן

• לא

• אני אעשה הכל בעצמי

אף אחד עדיין לא הצביע. אין נמנעים.

מקור: www.habr.com