របៀបវាយតម្លៃប្រសិទ្ធភាពនៃការដំឡើង NGFW

ភារកិច្ចទូទៅបំផុតគឺត្រូវពិនិត្យមើលថាតើជញ្ជាំងភ្លើងរបស់អ្នកត្រូវបានកំណត់រចនាសម្ព័ន្ធមានប្រសិទ្ធភាពប៉ុណ្ណា។ ដើម្បីធ្វើដូចនេះមានឧបករណ៍ប្រើប្រាស់ និងសេវាកម្មឥតគិតថ្លៃពីក្រុមហ៊ុនដែលដោះស្រាយជាមួយ NGFW ។

ឧទាហរណ៍ អ្នកអាចមើលឃើញខាងក្រោមថា Palo Alto Networks មានសមត្ថភាពដោយផ្ទាល់ពី វិបផតថលគាំទ្រ ដំណើរការការវិភាគនៃស្ថិតិជញ្ជាំងភ្លើង - របាយការណ៍ SLR ឬការវិភាគនៃការអនុលោមតាមការអនុវត្តល្អបំផុត - របាយការណ៍ BPA ។ ទាំងនេះគឺជាឧបករណ៍ប្រើប្រាស់អនឡាញឥតគិតថ្លៃដែលអ្នកអាចប្រើដោយមិនចាំបាច់ដំឡើងអ្វីទាំងអស់។

CONTENT

បេសកកម្ម (ឧបករណ៍ធ្វើចំណាកស្រុក)
កម្មវិធីបង្កើនប្រសិទ្ធភាពគោលនយោបាយ
សូន្យទុកចិត្ត
ចុចលើ Unused
ចុចលើ Unused App
ចុច No Apps បញ្ជាក់
ចុះ Machine Learning វិញ?
យូ។ ធី

បេសកកម្ម (ឧបករណ៍ធ្វើចំណាកស្រុក)

ជម្រើសស្មុគ្រស្មាញជាងមុនសម្រាប់ពិនិត្យមើលការកំណត់របស់អ្នកគឺទាញយកឧបករណ៍ប្រើប្រាស់ឥតគិតថ្លៃ បេសកកម្ម (ពីមុនឧបករណ៍ធ្វើចំណាកស្រុក)។ វាត្រូវបានទាញយកជា Virtual Appliance សម្រាប់ VMware មិនចាំបាច់មានការកំណត់ជាមួយវាទេ - អ្នកត្រូវទាញយករូបភាព ហើយដាក់ពង្រាយវានៅក្រោម VMware hypervisor បើកដំណើរការវា ហើយចូលទៅកាន់ web interface។ ឧបករណ៍ប្រើប្រាស់នេះទាមទាររឿងដាច់ដោយឡែកមួយ មានតែវគ្គបណ្តុះបណ្តាលប៉ុណ្ណោះដែលចំណាយពេល 5 ថ្ងៃ មានមុខងារច្រើនណាស់ឥឡូវនេះ រួមទាំង Machine Learning និងការផ្លាស់ប្តូរការកំណត់រចនាសម្ព័ន្ធផ្សេងៗនៃគោលការណ៍ NAT និងវត្ថុសម្រាប់ក្រុមហ៊ុនផលិត Firewall ផ្សេងៗគ្នា។ ខ្ញុំនឹងសរសេរបន្ថែមអំពី Machine Learning ខាងក្រោមនៅក្នុងអត្ថបទ។

កម្មវិធីបង្កើនប្រសិទ្ធភាពគោលនយោបាយ

ហើយជម្រើសដែលងាយស្រួលបំផុត (IMHO) ដែលខ្ញុំនឹងប្រាប់អ្នកឱ្យកាន់តែលម្អិតនៅថ្ងៃនេះ គឺជាកម្មវិធីបង្កើនប្រសិទ្ធភាពគោលការណ៍ដែលបានបង្កើតឡើងនៅក្នុងចំណុចប្រទាក់ Palo Alto Networks ខ្លួនវាផ្ទាល់។ ដើម្បី​បង្ហាញ​វា ខ្ញុំ​បាន​ដំឡើង​ជញ្ជាំង​ភ្លើង​នៅ​ផ្ទះ ហើយ​បាន​សរសេរ​ច្បាប់​សាមញ្ញ​មួយ៖ អនុញ្ញាត​ឲ្យ​អ្នក​ណា​ក៏​បាន។ ជាគោលការណ៍ ពេលខ្លះខ្ញុំឃើញច្បាប់បែបនេះ សូម្បីតែនៅក្នុងបណ្តាញសាជីវកម្មក៏ដោយ។ តាមធម្មជាតិ ខ្ញុំបានបើកដំណើរការទម្រង់សុវត្ថិភាព NGFW ទាំងអស់ ដូចដែលអ្នកអាចឃើញនៅក្នុងរូបថតអេក្រង់៖


រូបថតអេក្រង់ខាងក្រោមបង្ហាញពីឧទាហរណ៍នៃជញ្ជាំងភ្លើងដែលមិនបានកំណត់រចនាសម្ព័ន្ធផ្ទះរបស់ខ្ញុំ ដែលការតភ្ជាប់ស្ទើរតែទាំងអស់ធ្លាក់ចូលទៅក្នុងច្បាប់ចុងក្រោយ៖ AllowAll ដូចដែលអាចមើលឃើញពីស្ថិតិនៅក្នុងជួរឈរ Hit Count ។

សូន្យទុកចិត្ត

មានវិធីសាស្រ្តសុវត្ថិភាពហៅថា សូន្យទុកចិត្ត. តើនេះមានន័យយ៉ាងណា៖ យើងត្រូវអនុញ្ញាតឱ្យមនុស្សនៅក្នុងបណ្តាញភ្ជាប់ទំនាក់ទំនងទាំងនោះដែលពួកគេត្រូវការ ហើយបដិសេធអ្វីៗផ្សេងទៀត។ នោះគឺយើងត្រូវបន្ថែមច្បាប់ច្បាស់លាស់សម្រាប់កម្មវិធី អ្នកប្រើប្រាស់ ប្រភេទ URL ប្រភេទឯកសារ។ បើកដំណើរការ IPS និងហត្ថលេខាកំចាត់មេរោគទាំងអស់ បើកដំណើរការ sandboxing ការការពារ DNS ប្រើ IoC ពីមូលដ្ឋានទិន្នន័យ Threat Intelligence ដែលមាន។ ជាទូទៅ មានកិច្ចការមួយចំនួនសមរម្យនៅពេលដំឡើងជញ្ជាំងភ្លើង។

ដោយវិធីនេះ សំណុំអប្បបរមានៃការកំណត់ចាំបាច់សម្រាប់ Palo Alto Networks NGFW ត្រូវបានពិពណ៌នានៅក្នុងឯកសារមួយក្នុងចំណោមឯកសារ SANS៖ Palo Alto Networks Security Configuration Benchmark - ខ្ញុំសូមណែនាំឱ្យចាប់ផ្តើមជាមួយវា។ ហើយជាការពិតណាស់ មានសំណុំនៃការអនុវត្តល្អបំផុតសម្រាប់ការដំឡើងជញ្ជាំងភ្លើងពីក្រុមហ៊ុនផលិត៖ ការអនុវត្តល្អបំផុត.

ដូច្នេះ ខ្ញុំមានជញ្ជាំងភ្លើងនៅផ្ទះមួយសប្តាហ៍។ តោះ​មើល​ថា​តើ​ចរាចរណ៍​ប្រភេទ​ណា​នៅ​លើ​បណ្ដាញ​របស់​ខ្ញុំ៖


ប្រសិនបើអ្នកតម្រៀបតាមចំនួនវគ្គ នោះភាគច្រើននៃពួកគេត្រូវបានបង្កើតឡើងដោយ bittorent បន្ទាប់មកមក SSL បន្ទាប់មក QUIC ។ ទាំងនេះគឺជាស្ថិតិសម្រាប់ចរាចរណ៍ចូល និងចេញ៖ មានការស្កេនខាងក្រៅជាច្រើននៃរ៉ោតទ័ររបស់ខ្ញុំ។ មានកម្មវិធីផ្សេងៗគ្នាចំនួន 150 នៅលើបណ្តាញរបស់ខ្ញុំ។

ដូច្នេះ ទាំងអស់នេះត្រូវបានខកខានដោយច្បាប់មួយ។ ឥឡូវនេះ តោះមើលអ្វីដែល Policy Optimizer និយាយអំពីរឿងនេះ។ ប្រសិនបើអ្នកក្រឡេកមើលរូបថតអេក្រង់ខាងលើនៃចំណុចប្រទាក់ជាមួយច្បាប់សុវត្ថិភាព បន្ទាប់មកនៅខាងឆ្វេងខាងក្រោម អ្នកឃើញបង្អួចតូចមួយដែលប្រាប់ខ្ញុំថាមានច្បាប់ដែលអាចធ្វើឱ្យប្រសើរឡើងបាន។ តោះចុចនៅទីនោះ។

អ្វីដែលកម្មវិធី Optimizer បង្ហាញគោលនយោបាយ៖

• គោលនយោបាយណាដែលមិនត្រូវបានប្រើទាល់តែសោះ 30 ថ្ងៃ 90 ថ្ងៃ។ នេះជួយធ្វើការសម្រេចចិត្តដើម្បីយកពួកវាចេញទាំងស្រុង។
• តើកម្មវិធីអ្វីខ្លះត្រូវបានបញ្ជាក់នៅក្នុងគោលការណ៍ ប៉ុន្តែមិនមានកម្មវិធីបែបនេះត្រូវបានរកឃើញនៅក្នុងចរាចរណ៍ទេ។ នេះអនុញ្ញាតឱ្យអ្នកលុបកម្មវិធីដែលមិនចាំបាច់ចេញក្នុងការអនុញ្ញាតច្បាប់។
• តើគោលការណ៍អ្វីខ្លះដែលអនុញ្ញាតឲ្យអ្វីៗគ្រប់យ៉ាង ប៉ុន្តែតាមពិតមានកម្មវិធីដែលល្អក្នុងការបង្ហាញយ៉ាងច្បាស់យោងទៅតាមវិធីសាស្ត្រ Zero Trust ។

តោះចុចលើ Unused ។

ដើម្បីបង្ហាញពីរបៀបដែលវាដំណើរការ ខ្ញុំបានបន្ថែមច្បាប់មួយចំនួន ហើយរហូតមកដល់ពេលនេះ ពួកគេមិនខកខានកញ្ចប់តែមួយទេនៅថ្ងៃនេះ។ នេះគឺជាបញ្ជីរបស់ពួកគេ៖

ប្រហែលជាយូរ ៗ ទៅនឹងមានចរាចរណ៍នៅទីនោះហើយបន្ទាប់មកពួកគេនឹងបាត់ពីបញ្ជីនេះ។ ហើយប្រសិនបើពួកគេមាននៅក្នុងបញ្ជីនេះរយៈពេល 90 ថ្ងៃនោះ អ្នកអាចសម្រេចចិត្តលុបច្បាប់ទាំងនេះ។ យ៉ាងណាមិញ រាល់ច្បាប់ផ្តល់ឱកាសដល់ពួក Hacker ។

មានបញ្ហាពិតប្រាកដនៅពេលកំណត់រចនាសម្ព័ន្ធជញ្ជាំងភ្លើង៖ បុគ្គលិកថ្មីមកមើលច្បាប់ជញ្ជាំងភ្លើង ប្រសិនបើពួកគេមិនមានមតិយោបល់ណាមួយ ហើយគាត់មិនដឹងថាហេតុអ្វីបានជាច្បាប់នេះត្រូវបានបង្កើតឡើង ថាតើវាពិតជាត្រូវការឬអត់ ថាតើវាអាច ត្រូវបានលុប៖ ភ្លាមៗនោះបុគ្គលនោះកំពុងវិស្សមកាល ហើយបន្ទាប់ពីរយៈពេល 30 ថ្ងៃ ចរាចរណ៍នឹងហូរម្តងទៀតពីសេវាកម្មដែលគាត់ត្រូវការ។ ហើយមុខងារនេះជួយគាត់ធ្វើការសម្រេចចិត្ត - គ្មាននរណាម្នាក់ប្រើវា - លុបវាចោល!

ចុចលើ Unused App។

យើងចុចលើកម្មវិធីដែលមិនបានប្រើនៅក្នុងកម្មវិធីបង្កើនប្រសិទ្ធភាព ហើយឃើញថាព័ត៌មានគួរឱ្យចាប់អារម្មណ៍បើកនៅក្នុងបង្អួចមេ។

យើងឃើញថាមានច្បាប់ចំនួនបី ដែលចំនួននៃកម្មវិធីដែលបានអនុញ្ញាត និងចំនួនកម្មវិធីដែលបានឆ្លងកាត់ច្បាប់នេះពិតជាខុសគ្នា។

យើងអាចចុច និងមើលបញ្ជីនៃកម្មវិធីទាំងនេះ ហើយប្រៀបធៀបបញ្ជីទាំងនេះ។
ឧទាហរណ៍ ចុចលើប៊ូតុងប្រៀបធៀបសម្រាប់ច្បាប់អតិបរមា។

នៅទីនេះអ្នកអាចមើលឃើញថាកម្មវិធី facebook, instagram, telegram, vkontakte ត្រូវបានអនុញ្ញាត។ ប៉ុន្តែតាមពិត ចរាចរណ៍បានទៅដល់កម្មវិធីរងមួយចំនួនប៉ុណ្ណោះ។ នៅទីនេះអ្នកត្រូវយល់ថាកម្មវិធី facebook មានកម្មវិធីរងមួយចំនួន។

បញ្ជីទាំងមូលនៃកម្មវិធី NGFW អាចមើលឃើញនៅលើវិបផតថល។ applipedia.paloaltonetworks.com ហើយនៅក្នុងចំណុចប្រទាក់ជញ្ជាំងភ្លើងខ្លួនឯងនៅក្នុងផ្នែក Objects-> Applications និងក្នុងការស្វែងរក សូមវាយឈ្មោះកម្មវិធី៖ facebook អ្នកនឹងទទួលបានលទ្ធផលដូចខាងក្រោម៖

ដូច្នេះ កម្មវិធីរងទាំងនេះមួយចំនួនត្រូវបានមើលឃើញដោយ NGFW ប៉ុន្តែមួយចំនួនទៀតមិនមែនទេ។ ជាការពិត អ្នកអាចហាមឃាត់ និងអនុញ្ញាតមុខងាររងផ្សេងៗរបស់ Facebook ដោយឡែកពីគ្នា។ ឧទាហរណ៍ អនុញ្ញាតឱ្យមើលសារ ប៉ុន្តែហាមឃាត់ការជជែក ឬការផ្ទេរឯកសារ។ ដូច្នោះហើយ Policy Optimizer និយាយអំពីរឿងនេះ ហើយអ្នកអាចធ្វើការសម្រេចចិត្តបាន៖ មិនអនុញ្ញាតឱ្យកម្មវិធី Facebook ទាំងអស់នោះទេ ប៉ុន្តែមានតែកម្មវិធីសំខាន់ៗប៉ុណ្ណោះ។

ដូច្នេះ យើង​បាន​ដឹង​ថា​បញ្ជី​គឺ​ខុស​គ្នា។ អ្នកអាចធ្វើឱ្យប្រាកដថាច្បាប់អនុញ្ញាតតែកម្មវិធីទាំងនោះដែលពិតជាធ្វើដំណើរនៅលើបណ្តាញ។ ដើម្បីធ្វើដូចនេះអ្នកចុចប៊ូតុង MatchUsage ។ វាប្រែចេញដូចនេះ៖

ហើយអ្នកក៏អាចបន្ថែមកម្មវិធីដែលអ្នកគិតថាចាំបាច់ផងដែរ - ប៊ូតុងបន្ថែមនៅផ្នែកខាងឆ្វេងនៃបង្អួច៖

ហើយបន្ទាប់មកច្បាប់នេះអាចត្រូវបានអនុវត្ត និងសាកល្បង។ អបអរសាទរ!

ចុច No Apps បញ្ជាក់។

ក្នុងករណីនេះ បង្អួចសុវត្ថិភាពដ៏សំខាន់មួយនឹងបើក។

ភាគច្រើនទំនងជាមានច្បាប់បែបនេះជាច្រើននៅក្នុងបណ្តាញរបស់អ្នក ដែលកម្មវិធីកម្រិត L7 មិនបានបញ្ជាក់ច្បាស់លាស់។ ហើយនៅក្នុងបណ្តាញរបស់ខ្ញុំមានច្បាប់បែបនេះ - ខ្ញុំសូមរំលឹកអ្នកថាខ្ញុំបានធ្វើវាកំឡុងពេលរៀបចំដំបូង ជាពិសេសដើម្បីបង្ហាញពីរបៀបដែល Policy Optimizer ដំណើរការ។

រូបភាពបង្ហាញថាច្បាប់ AllowAll បានអនុញ្ញាតឱ្យចរាចរ 9 ជីហ្គាបៃក្នុងរយៈពេលពីថ្ងៃទី 17 ដល់ថ្ងៃទី 220 ខែមីនា ដែលជាកម្មវិធី 150 ផ្សេងគ្នានៅក្នុងបណ្តាញរបស់ខ្ញុំ។ ហើយនោះមិនគ្រប់គ្រាន់ទេ។ ជាធម្មតា បណ្តាញសាជីវកម្មដែលមានទំហំមធ្យមមាន 200-300 កម្មវិធីផ្សេងៗគ្នា។

ដូច្នេះ ច្បាប់មួយអនុញ្ញាតឱ្យឆ្លងកាត់កម្មវិធីរហូតដល់ 150 ។ ជាធម្មតា នេះមានន័យថា ជញ្ជាំងភ្លើងមិនត្រូវបានកំណត់ត្រឹមត្រូវទេ ព្រោះជាធម្មតាច្បាប់មួយអនុញ្ញាតឱ្យកម្មវិធី 1-10 សម្រាប់គោលបំណងផ្សេងៗគ្នា។ តោះមើលថាតើកម្មវិធីទាំងនេះជាអ្វី៖ ចុចប៊ូតុងប្រៀបធៀប៖

អ្វីដែលអស្ចារ្យបំផុតសម្រាប់អ្នកគ្រប់គ្រងនៅក្នុងមុខងារ Optimizer គោលការណ៍គឺប៊ូតុង Match Usage - អ្នកអាចបង្កើតច្បាប់ដោយចុចតែម្តង ដែលអ្នកនឹងបញ្ចូលកម្មវិធីទាំង 150 ទៅក្នុងច្បាប់។ ការធ្វើវាដោយដៃនឹងចំណាយពេលយូរ។ ចំនួនភារកិច្ចសម្រាប់អ្នកគ្រប់គ្រងដើម្បីធ្វើការ សូម្បីតែនៅលើបណ្តាញ 10 ឧបករណ៍របស់ខ្ញុំគឺធំធេងណាស់។

ខ្ញុំមានកម្មវិធី 150 ផ្សេងគ្នាដែលកំពុងដំណើរការនៅផ្ទះ ផ្ទេរជីហ្គាបៃនៃចរាចរណ៍! ហើយតើអ្នកមានប៉ុន្មាន?

ប៉ុន្តែតើមានអ្វីកើតឡើងនៅក្នុងបណ្តាញនៃឧបករណ៍ 100 ឬ 1000 ឬ 10000? ខ្ញុំបានឃើញជញ្ជាំងភ្លើងដែលមានច្បាប់ចំនួន 8000 ហើយខ្ញុំរីករាយណាស់ដែលឥឡូវនេះអ្នកគ្រប់គ្រងមានឧបករណ៍ស្វ័យប្រវត្តិកម្មដ៏ងាយស្រួលបែបនេះ។

កម្មវិធីមួយចំនួនដែលម៉ូឌុលវិភាគកម្មវិធី L7 នៅក្នុង NGFW បានឃើញ និងបង្ហាញថាអ្នកនឹងមិនត្រូវការនៅលើបណ្តាញ ដូច្នេះអ្នកគ្រាន់តែដកពួកវាចេញពីបញ្ជីនៃច្បាប់អនុញ្ញាត ឬក្លូនច្បាប់ដោយប្រើប៊ូតុងក្លូន (នៅក្នុងចំណុចប្រទាក់មេ) និង អនុញ្ញាតឱ្យពួកវានៅក្នុងច្បាប់កម្មវិធីមួយ ហើយនៅក្នុង អ្នកនឹងទប់ស្កាត់កម្មវិធីផ្សេងទៀត ព្រោះថាពួកវាពិតជាមិនត្រូវការនៅលើបណ្តាញរបស់អ្នក។ កម្មវិធីបែបនេះច្រើនតែរួមបញ្ចូល bittorent, steam, ultrasurf, tor, ផ្លូវរូងក្រោមដីដែលលាក់ដូចជា tcp-over-dns និងផ្សេងទៀត។

ជាការប្រសើរណាស់ តោះចុចលើច្បាប់មួយទៀត ហើយមើលអ្វីដែលអ្នកអាចមើលឃើញនៅទីនោះ៖

បាទ មានកម្មវិធីធម្មតាសម្រាប់ពហុខាស។ យើងត្រូវតែអនុញ្ញាតឱ្យពួកគេសម្រាប់ការមើលវីដេអូអនឡាញដំណើរការ។ ចុចលើការប្រើប្រាស់ផ្គូផ្គង។ អស្ចារ្យ! សូមអរគុណអ្នកបង្កើនប្រសិទ្ធភាពគោលនយោបាយ។

ចុះ Machine Learning វិញ?

ឥឡូវនេះវាគឺជាម៉ូតដើម្បីនិយាយអំពីស្វ័យប្រវត្តិកម្ម។ អ្វីដែលខ្ញុំបានពិពណ៌នាចេញមក - វាជួយបានច្រើន។ មាន​លទ្ធភាព​មួយ​ទៀត​ដែល​ខ្ញុំ​គួរ​និយាយ។ នេះគឺជាមុខងារ Machine Learning ដែលបានបង្កើតឡើងនៅក្នុងឧបករណ៍ប្រើប្រាស់ Expedition ដែលត្រូវបានរៀបរាប់ខាងលើរួចហើយ។ នៅក្នុងឧបករណ៍ប្រើប្រាស់នេះ វាអាចផ្ទេរច្បាប់ពីជញ្ជាំងភ្លើងចាស់របស់អ្នកពីក្រុមហ៊ុនផលិតផ្សេងទៀត។ វាក៏មានសមត្ថភាពក្នុងការវិភាគកំណត់ហេតុចរាចរណ៍ Palo Alto Networks ដែលមានស្រាប់ និងស្នើច្បាប់ដែលត្រូវសរសេរ។ នេះគឺស្រដៀងគ្នាទៅនឹងមុខងាររបស់ Policy Optimizer ប៉ុន្តែនៅក្នុង Expedition វាត្រូវបានពង្រីកកាន់តែច្រើន ហើយអ្នកត្រូវបានផ្តល់ជូននូវបញ្ជីនៃច្បាប់ដែលត្រៀមរួចជាស្រេច - អ្នកគ្រាន់តែត្រូវការយល់ព្រម។
ដើម្បីសាកល្បងមុខងារនេះមានការងារមន្ទីរពិសោធន៍ - យើងហៅវាថា តេស្តសាកល្បង។ ការធ្វើតេស្តនេះអាចត្រូវបានធ្វើដោយការចូលទៅក្នុងជញ្ជាំងភ្លើងនិម្មិតដែលបុគ្គលិកការិយាល័យ Palo Alto Networks នៅទីក្រុងម៉ូស្គូនឹងចាប់ផ្តើមតាមសំណើរបស់អ្នក។

សំណើអាចត្រូវបានផ្ញើទៅ [អ៊ីមែលការពារ] ហើយនៅក្នុងសំណើសូមសរសេរថា "ខ្ញុំចង់បង្កើត UTD សម្រាប់ដំណើរការចំណាកស្រុក។"

ជាការពិត ការងារមន្ទីរពិសោធន៍ដែលហៅថា Unified Test Drive (UTD) មានជម្រើសជាច្រើន ហើយពួកគេទាំងអស់គ្នា អាចរកបានពីចម្ងាយ បន្ទាប់ពីការស្នើសុំ។

មានតែអ្នកប្រើប្រាស់ដែលបានចុះឈ្មោះប៉ុណ្ណោះដែលអាចចូលរួមក្នុងការស្ទង់មតិនេះ។ ចូលសូម។

តើអ្នកចង់ឱ្យនរណាម្នាក់ជួយអ្នកបង្កើនប្រសិទ្ធភាពគោលការណ៍ជញ្ជាំងភ្លើងរបស់អ្នកទេ?

• ថា

• គ្មាន

• ខ្ញុំនឹងធ្វើវាដោយខ្លួនឯងទាំងអស់។

មិនទាន់មានអ្នកណាបោះឆ្នោតនៅឡើយទេ។ មិនមានការហាមឃាត់ទេ។

ប្រភព: www.habr.com