Како да се оцени ефективноста на поставувањето NGFW

Најчеста задача е да проверите колку ефикасно е конфигуриран вашиот заштитен ѕид. За да го направите ова, постојат бесплатни комунални услуги и услуги од компании кои се занимаваат со NGFW.

На пример, можете да видите подолу дека Palo Alto Networks има можност директно од портал за поддршка извршете анализа на статистиката на заштитен ѕид - извештај за SLR или анализа на усогласеноста со најдобрите практики - извештај BPA. Ова се бесплатни онлајн алатки што можете да ги користите без да инсталирате ништо.

СОДРЖИНА

Експедиција (Алатка за миграција)
Политика за оптимизатор
Нула доверба
Кликнете на Неискористено
Кликнете на Неискористена апликација
Кликнете Без назначени апликации
Што е со машинското учење?
UTD

Експедиција (Алатка за миграција)

Посложена опција за проверка на вашите поставки е да преземете бесплатна алатка Експедиција (порано алатка за миграција). Се презема како виртуелен апарат за VMware, не се потребни никакви поставки со него - треба да ја преземете сликата и да ја распоредите под хипервизорот на VMware, да ја стартувате и да отидете на веб-интерфејсот. Оваа алатка бара посебна приказна, само курсот за него трае 5 дена, сега има толку многу функции, вклучувајќи Машинско учење и миграција на различни конфигурации на политики, NAT и објекти за различни производители на Firewall. Ќе напишам повеќе за машинското учење подолу во текстот.

Политика за оптимизатор

И најзгодната опција (IMHO), за која ќе ви кажам подетално денес, е оптимизатор на политики вграден во самиот интерфејс на Palo Alto Networks. За да го покажам тоа, инсталирав заштитен ѕид дома и напишав едноставно правило: дозволи било кој било. Во принцип, понекогаш гледам такви правила дури и во корпоративните мрежи. Секако, ги овозможив сите безбедносни профили NGFW, како што можете да видите на сликата од екранот:


Сликата од екранот подолу покажува пример на мојот домашен неконфигуриран заштитен ѕид, каде што скоро сите врски спаѓаат во последното правило: AllowAll, како што може да се види од статистиката во колоната Hit Count.

Нула доверба

Постои пристап кон безбедноста наречен Нула доверба. Што значи ова: мора да им дозволиме на луѓето во мрежата токму оние врски што им се потребни и да негираме сè друго. Односно, треба да додадеме јасни правила за апликации, корисници, категории на URL, типови на датотеки; овозможете ги сите IPS и антивирусни потписи, овозможете sandboxing, DNS заштита, користете IoC од достапните бази на податоци на Threat Intelligence. Во принцип, има пристоен број на задачи при поставување на заштитен ѕид.

Патем, минималниот сет на потребни поставки за Palo Alto Networks NGFW е опишан во еден од документите SANS: Репер за конфигурација за безбедност на мрежите на Пало Алто - Препорачувам да започнете со тоа. И, се разбира, има збир на најдобри практики за поставување заштитен ѕид од производителот: Најдобра практика.

Значи, имав заштитен ѕид дома една недела. Ајде да видиме каков сообраќај има на мојата мрежа:


Ако подредите по бројот на сесии, тогаш повеќето од нив се креирани со битторент, потоа доаѓа SSL, па QUIC. Ова се статистики и за дојдовниот и за појдовниот сообраќај: има многу надворешни скенирања на мојот рутер. Има 150 различни апликации на мојата мрежа.

Значи, сето ова беше пропуштено по едно правило. Ајде сега да видиме што вели Policy Optimizer за ова. Ако погледнавте погоре во скриншот на интерфејсот со безбедносни правила, тогаш долу лево видовте мал прозорец што ми навестува дека има правила што може да се оптимизираат. Ајде да кликнете таму.

Што покажува Policy Optimizer:

• Кои полиси воопшто не се користеле, 30 дена, 90 дена. Ова помага да се донесе одлука за нивно целосно отстранување.
• Какви апликации беа наведени во полисите, но такви апликации не беа откриени во сообраќајот. Ова ви овозможува да ги отстраните непотребните апликации во правилата за дозволување.
• Кои политики дозволуваа сè, но всушност имаше апликации кои би било убаво експлицитно да се наведат според методологијата Zero Trust.

Ајде да кликнеме на Unused.

За да покажам како функционира, додадов неколку правила и досега не пропуштија ниту еден пакет денес. Еве ја нивната листа:

Можеби со текот на времето ќе има сообраќај таму, а потоа тие ќе исчезнат од оваа листа. И ако тие се на оваа листа 90 дена, тогаш можете да одлучите да ги избришете овие правила. На крајот на краиштата, секое правило дава можност за хакер.

Има вистински проблем при конфигурирање на заштитниот ѕид: доаѓа нов вработен, ги гледа правилата за заштитен ѕид, ако немаат никакви коментари и не знае зошто е создадено ова правило, дали е навистина потребно, дали може да се избрише: одеднаш лицето е на одмор и по Во рок од 30 дена, сообраќајот повторно ќе тече од услугата што му е потребна. И само оваа функција му помага да донесе одлука - никој не ја користи - избришете ја!

Кликнете на Неискористена апликација.

Кликнеме на Unused App во оптимизатор и гледаме дека интересни информации се отвораат во главниот прозорец.

Гледаме дека има три правила, каде што бројот на дозволени апликации и бројот на апликации што реално го поминале ова правило се различни.

Можеме да кликнеме и да видиме листа на овие апликации и да ги споредиме овие списоци.
На пример, кликнете на копчето Спореди за правилото Max.

Овде можете да видите дека апликациите facebook, instagram, telegram, vkontakte беа дозволени. Но, во реалноста, сообраќајот одеше само на некои од подапликациите. Овде треба да разберете дека апликацијата Фејсбук содржи неколку подапликации.

Целата листа на NGFW апликации може да се види на порталот applipedia.paloaltonetworks.com а во самиот интерфејс на заштитен ѕид, во делот Objects->Applications и во пребарувањето напишете го името на апликацијата: facebook, ќе го добиете следниот резултат:

Значи, некои од овие подапликации беа видени од NGFW, но некои не беа видени. Всушност, можете одделно да забраните и дозволите различни под-функции на Facebook. На пример, дозволете гледање пораки, но забранете разговор или пренос на датотеки. Според тоа, Policy Optimizer зборува за ова и можете да донесете одлука: не дозволувајте ги сите апликации на Facebook, туку само главните.

Така, сфативме дека списоците се различни. Може да се уверите дека правилата ги дозволуваат само оние апликации кои всушност патуваат на мрежата. За да го направите ова, кликнете на копчето MatchUsage. Излегува вака:

И, исто така, можете да додадете апликации што сметате дека се неопходни - копчето Додај на левата страна од прозорецот:

И тогаш ова правило може да се примени и тестира. Секоја чест!

Кликнете Без назначени апликации.

Во овој случај, ќе се отвори важен безбедносен прозорец.

Најверојатно има многу такви правила во вашата мрежа каде што апликацијата на ниво L7 не е експлицитно наведена. И во мојата мрежа постои такво правило - дозволете ми да ве потсетам дека го направив при првичното поставување, конкретно за да покажам како работи Policy Optimizer.

Сликата покажува дека правилото AllowAll дозволи 9 гигабајти сообраќај во периодот од 17 до 220 март, што е 150 различни апликации во мојата мрежа. И тоа не е доволно. Вообичаено, една просечна корпоративна мрежа има 200-300 различни апликации.

Значи, едно правило пропушта дури 150 апликации. Обично тоа значи дека заштитниот ѕид не е правилно конфигуриран, бидејќи обично едно правило дозволува 1-10 апликации за различни намени. Ајде да видиме кои се овие апликации: кликнете на копчето Спореди:

Најпрекрасното нешто за еден администратор во функцијата Policy Optimizer е копчето Match Usage - можете да креирате правило со еден клик, каде што ќе ги внесете сите 150 апликации во правилото. Рачното ова ќе потрае доста долго. Бројот на задачи на кои треба да работи администраторот, дури и на мојата мрежа од 10 уреди, е огромен.

Имам 150 различни апликации кои работат дома, пренесувајќи гигабајти сообраќај! И колку имаш?

Но, што се случува во мрежа од 100 уреди или 1000 или 10000? Видов заштитни ѕидови со 8000 правила и многу ми е драго што администраторите сега имаат толку удобни алатки за автоматизација.

Некои од апликациите што ги виде и ги покажа модулот за анализа на апликации L7 во NGFW нема да ви требаат на мрежата, па едноставно ги отстранувате од списокот со правила што дозволуваат или ги клонирате правилата користејќи го копчето Clone (во главниот интерфејс) и дозволете ги во едно правило за апликација, а во Ќе блокирате други апликации бидејќи дефинитивно не се потребни на вашата мрежа. Таквите апликации често вклучуваат bittorent, steam, ultrasurf, tor, скриени тунели како tcp-over-dns и други.

Па, ајде да кликнете на друго правило и да видиме што можете да видите таму:

Да, има апликации типични за мултикаст. Мора да им дозволиме да функционираат гледањето видео преку Интернет. Кликнете Надвои користење. Одлично! Благодарам Policy Optimizer.

Што е со машинското учење?

Сега е модерно да се зборува за автоматизација. Она што го опишав излезе - многу помага. Има уште една можност за која треба да зборувам. Ова е функционалноста Машинско учење вградена во алатката Expedition, која веќе беше спомната погоре. Во оваа алатка, можно е да се префрлат правила од вашиот стар заштитен ѕид од друг производител. Исто така, постои можност да се анализираат постоечките сообраќајни дневници на Palo Alto Networks и да се предложат кои правила да се напишат. Ова е слично на функционалноста на Policy Optimizer, но во Expedition е уште попроширена и ви се нуди листа на готови правила - само треба да ги одобрите.
За да се тестира оваа функционалност, постои лабораториска работа - ние го нарекуваме тест возење. Овој тест може да се направи со најавување во виртуелни заштитни ѕидови, кои вработените во канцеларијата на Palo Alto Networks во Москва ќе ги стартуваат на ваше барање.

Барањето може да се испрати до [заштитена по е-пошта] и во барањето напишете: „Сакам да направам UTD за процесот на миграција“.

Всушност, лабораториската работа наречена Unified Test Drive (UTD) има неколку опции и сите нив достапни од далечина по барање.

Само регистрирани корисници можат да учествуваат во анкетата. Најави се, вие сте добредојдени.

Дали сакате некој да ви помогне да ги оптимизирате вашите политики за заштитен ѕид?

• Да

• Не

• Сето тоа ќе го направам сам

Се уште никој не гласал. Нема воздржани.

Извор: www.habr.com