Jak ocenić skuteczność konfiguracji NGFW
Najczęstsze zadanie to sprawdzenie, jak efektywnie skonfigurowany jest Twój firewall. W tym celu istnieją darmowe narzędzia i usługi od firm zajmujących się NGFW.
Na przykład, poniżej widać, że firma Palo Alto Networks oferuje możliwość bezpośrednio z uruchomić analizę statystyk firewalla — raport SLR lub analiza zgodności z najlepszymi praktykami — raport BPA. To darmowe narzędzia online, z których można skorzystać bez instalacji.
SPIS TREŚCI
Expedition (Narzędzie migracyjne)
Bardziej złożoną opcją sprawdzenia swoich ustawień jest pobranie darmowego narzędzia (dawne Narzędzie migracyjne). Jest to pobierane jako Virtual Appliance pod VMware, nie wymaga żadnych ustawień — wystarczy pobrać obraz i uruchomić go pod hipernadzorcą VMware, a następnie zalogować się do interfejsu webowego. To narzędzie wymaga osobnego opisu, kurs dotyczący jego obsługi trwa 5 dni, tyle teraz funkcji, w tym Machine Learning i migracji różnych konfiguracji polityk, NAT oraz obiektów dla różnych producentów Firewall. O Machine Learning napiszę jeszcze szczegółowiej poniżej w tekście.
Optymalizator polityk
I najwygodniejsza opcja (IMO), o której dzisiaj opowiem szczegółowiej — optymalizator polityk, wbudowany w interfejs Palo Alto Networks. Aby to zaprezentować, zainstalowałem firewall u siebie w domu i napisałem proste reguły: pozwól każdemu połączyć się z każdym. Takie reguły czasami widzę nawet w sieciach korporacyjnych. Oczywiście włączyłem wszystkie profile bezpieczeństwa NGFW, co widać na zrzucie ekranu:
Na zrzucie ekranu poniżej przedstawiono przykład mojego domowego, nie skonfigurowanego firewalla, gdzie prawie wszystkie połączenia trafiają do ostatniej reguły: AllowAll, co widać w statystykach w kolumnie Hit Count.
Zero Trust
Istnieje podejście do bezpieczeństwa nazwane . Co to oznacza: musimy zezwolić ludziom wewnątrz sieci dokładnie na te połączenia, które są im potrzebne, a wszystkie inne zablokować. Oznacza to, że musimy dodać ścisłe zasady dotyczące aplikacji, użytkowników, kategorii URL, typów plików; włączyć wszystkie sygnatury IPS i antywirusowe, włączyć piaskownicę, ochrona DNS, korzystać z IoC z dostępnych baz Threat Intelligence. Ogólnie rzecz biorąc, zadań związanych z konfiguracją firewalla jest całkiem sporo.
Zresztą minimalny zestaw niezbędnych ustawień dla Palo Alto Networks NGFW opisany jest w jednym z dokumentów SANS: — polecam zacząć od niego. Oczywiście istnieje również zbiór najlepszych praktyk dotyczących konfiguracji zapory sieciowej od producenta: .
A więc miałem zaporę sieciową w domu przez tydzień. Sprawdźmy, jaki ruch występuje w mojej sieci:
Jeśli posortujemy według liczby sesji, to najwięcej ich generuje bittorent, następnie SSL, potem QUIC. To jest wspólna statystyka zarówno dla ruchu przychodzącego, jak i wychodzącego: bardzo wiele jest zewnętrznych skanowań mojego routera. Różnych aplikacji w mojej sieci — 150.
A więc to wszystko było przepuszczone jednym regułą. Zobaczmy teraz, co na ten temat mówi Policy Optimizer. Jeśli wcześniej patrzyłeś na zrzut ekranu interfejsu z regułami bezpieczeństwa, to w lewym dolnym rogu widziałeś małe okno, które sugeruje, że istnieją reguły, które można zoptymalizować. Kliknijmy tam.
Co pokazuje Policy Optimizer:
- Jakie polityki nie były w ogóle używane, przez 30 dni, 90 dni. To pomaga podjąć decyzję o ich całkowitym usunięciu.
- Jakie aplikacje w politykach zostały wskazane, ale takich aplikacji w ruchu nie wykryto. To pozwala usunąć zbędne aplikacje w regułach zezwalających.
- Jakie polityki zezwalały na wszystko, ale realnie były tam aplikacje, które według metodyki Zero Trust należałoby jawnie wskazać.
Kliknijmy na Unused.
Aby pokazać, jak to działa, dodałem kilka reguł i jak dotąd dzisiaj ani razu nie przepuściły one żadnego pakietu. Oto ich lista:
Być może z czasem tam przejdzie ruch i wtedy znikną z tej listy. A jeśli będą na tej liście przez 90 dni — możesz podjąć decyzję o ich usunięciu. Przecież każda reguła stwarza możliwość dla hakera.
Istnieje rzeczywisty problem przy konfigurowaniu zapory sieciowej: przychodzi nowy pracownik, patrzy na reguły zapory, a jeśli nie ma żadnych komentarzy i nie wie, dlaczego ta reguła została utworzona, czy jest naprawdę potrzebna, czy można ją usunąć: być może osoba jest na urlopie i za 30 dni ruch ponownie będzie pochodził z potrzebnej mu usługi. I właśnie ta funkcja pomaga mu podjąć decyzję — nikt nie korzysta — usunąć!
Kliknijmy na Unused App.
Klikamy w optymalizatorze na Unused App i widzimy, że w głównym oknie otwierają się interesujące informacje.
Widzimy, że istnieją trzy zasady, w których liczba dozwolonych aplikacji i liczba aplikacji rzeczywiście przeszłych przez tę zasadę różni się.
Możemy kliknąć i zobaczyć listę tych aplikacji i porównać te listy.
Na przykład kliknijmy przycisk Compare dla zasady Max.
Tutaj widać, że pozwolono na aplikacje facebook, instagram, telegram, vkontakte. Jednak rzeczywisty ruch przeszedł tylko przez część podaplikacji. Trzeba zrozumieć, że aplikacja facebook zawiera kilka podaplikacji.
Całą listę aplikacji NGFW można zobaczyć na portalu i w samym interfejsie zapory w sekcji Objects->Applications, a w wyszukiwarce wpisz nazwę aplikacji: facebook, uzyskując taki wynik:
Tak więc, część z tych podaplikacji NGFW została dostrzegnięta, a część nie. W rzeczywistości możesz oddzielnie zabraniać i zezwalać na różne podfunkcje facebooka. Na przykład możesz zezwalać na przeglądanie wiadomości, ale zabraniać czatu lub przesyłania plików. Odpowiednio Policy Optimizer o tym mówi, a ty możesz podjąć decyzję: zezwalać nie na wszystkie aplikacje facebooka, a tylko na główne.
Zatem zrozumieliśmy, że listy są różne. Możesz zrobić tak, aby zasady zezwalały dokładnie na te aplikacje, które faktycznie były w ruchu w sieci. W tym celu klikasz przycisk MatchUsage. Otrzymujesz to w ten sposób:
Możesz także dodać aplikacje, które uważasz za potrzebne — przycisk Add po lewej stronie okna:
A następnie tę zasadę można zastosować i przetestować. Gratulacje!
Kliknij No Apps Specified.
W tym przypadku otworzy się ważne dla zapewnienia bezpieczeństwa okno.
Takich zasad, w których nie określono aplikacji poziomu L7, prawdopodobnie w twojej sieci jest bardzo dużo. I w mojej sieci jest taka zasada — przypominam, że stworzyłem ją podczas początkowej konfiguracji, specjalnie aby pokazać, jak działa Policy Optimizer.
Na obrazku widać, że zasada AllowAll przepuściła w okresie od 9 marca do 17 marca 220 gigabajtów ruchu, co w sumie daje 150 różnych aplikacji w mojej sieci. To wciąż mało. Zazwyczaj w sieci średniej wielkości przedsiębiorstwa jest 200-300 różnych aplikacji.
Otóż jedno z reguł pozwala na aż 150 aplikacji. Zwykle oznacza to, że zapora sieciowa jest źle skonfigurowana, ponieważ zazwyczaj w jednej regule włącza się 1-10 aplikacji dla różnych celów. Zobaczmy, jakie to są aplikacje: kliknijmy przycisk Compare:
Najwspanialsze dla administratora w funkcji Policy Optimizer jest przycisk Match Usage — możecie jednym kliknięciem stworzyć regułę, gdzie wpiszecie wszystkie 150 aplikacji. Robienie tego ręcznie zajęłoby dużo czasu. Liczba zadań dla administratora nawet w mojej sieci składającej się z 10 urządzeń jest ogromna.
Mam w domu 150 różnych aplikacji przesyłających gigabajty ruchu! A ile macie wy?
A co się dzieje w sieci składającej się z 100 urządzeń, 1000 lub 10000? Widziałem zapory sieciowe z 8000 regułami i bardzo się cieszę, że teraz administratorzy mają takie wygodne narzędzia automatyzacji.
Część aplikacji, które zauważyłem i pokazał moduł analizy aplikacji L7 w NGFW, nie będzie potrzebna w sieci, więc po prostu usuniemy je z listy dozwolonych reguł, lub sklonujemy reguły przyciskiem Clone (w głównym interfejsie) i w jednej regule zezwolimy na aplikacje, a w innej zablokujemy, ponieważ są one całkowicie niepotrzebne w waszej sieci. Takimi aplikacjami często stają się bittorent, steam, ultrasurf, tor, ukryte tunele typu tcp-over-dns i inne.
Zobaczmy teraz w inną regułę — co tam widać:
Tak, to aplikacje charakterystyczne dla multicast. Musimy je zezwolić, aby umożliwić oglądanie wideo w sieci. Klikamy Match Usage. Doskonale! Dziękuję Policy Optimizer.
A co z Machine Learning?
Obecnie popularne jest mówić o automatyzacji. To, co opisałem powyżej, bardzo pomaga. Istnieje jeszcze jedna możliwość, o której muszę opowiedzieć. To funkcjonalność Machine Learning wbudowana w narzędzie Expedition, które było już wcześniej wspomniane. W tym narzędziu istnieje możliwość przenoszenia reguł z waszej starej zapory sieciowej innego producenta. Jest także możliwość analizy istniejących dzienników ruchu Palo Alto Networks i proponowania, jakie reguły napisać. To przypomina funkcjonalność Policy Optimizer, ale w Expedition jest to jeszcze bardziej rozwinięte i proponowany jest już gotowy zestaw reguł — wystarczy, że je tylko zatwierdzicie.
Aby przetestować tę funkcjonalność, istnieje laboratorium - nazywamy to testem drive. Możesz to zrobić, logując się do wirtualnych zapór sieciowych, które pracownicy biura Palo Alto Networks w Moskwie uruchomią na Twoje życzenie.
Zapytanie można wysłać na adres Russia@paloaltonetworks.com, w treści proszę napisać: „Chcę wykonać UTD w procesie migracji”.
W rzeczywistości istnieje kilka wariantów laboratoriów o nazwie Unified Test Drive (UTD) i wszystkie są po złożeniu zapytania.
Tylko zarejestrowani użytkownicy mogą brać udział w ankiecie. , proszę.
Czy chcesz, aby ktoś pomógł Ci zoptymalizować polityki Twojej zapory sieciowej?
Tak
Nie
Zrobię wszystko sam
Nikt jeszcze nie głosował. Nie ma wstrzymujących się.
Źródło: habr.com
