{"id":29980,"date":"2019-10-31T21:32:59","date_gmt":"2019-10-31T18:32:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/optimizator-politik-bezopasnosti-palo-alto-networks-ngfw\/"},"modified":"2019-10-31T21:32:59","modified_gmt":"2019-10-31T18:32:59","slug":"optimizator-politik-bezopasnosti-palo-alto-networks-ngfw","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/optimizator-politik-bezopasnosti-palo-alto-networks-ngfw","title":{"rendered":"Optymalizator polityk bezpiecze\u0144stwa Palo Alto Networks NGFW","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Jak oceni\u0107 skuteczno\u015b\u0107 konfiguracji NGFW<\/h1>\n

\nNajcz\u0119stsze zadanie to sprawdzenie, jak efektywnie skonfigurowany jest Tw\u00f3j firewall. W tym celu istniej\u0105 darmowe narz\u0119dzia i us\u0142ugi od firm zajmuj\u0105cych si\u0119 NGFW. <\/p>\n

Na przyk\u0142ad, poni\u017cej wida\u0107, \u017ce firma Palo Alto Networks oferuje mo\u017cliwo\u015b\u0107 bezpo\u015brednio z portalu wsparcia<\/a><\/noindex> uruchomi\u0107 analiz\u0119 statystyk firewalla \u2014 raport SLR lub analiza zgodno\u015bci z najlepszymi praktykami \u2014 raport BPA. To darmowe narz\u0119dzia online, z kt\u00f3rych mo\u017cna skorzysta\u0107 bez instalacji.
\n\"Optymalizator <\/a><\/noindex><\/p>\n

SPIS TRE\u015aCI<\/h3>\n

\nExpedition (Narz\u0119dzie migracyjne)<\/a><\/noindex>
\nOptymalizator polityk<\/a><\/noindex>
\nZero Trust<\/a><\/noindex>
\nKliknij na Unused<\/a><\/noindex>
\nKliknij na Unused App<\/a><\/noindex>
\nKliknij No Apps Specified<\/a><\/noindex>
\nA co z Machine Learning?<\/a><\/noindex>
\nUTD<\/a><\/noindex><\/p>\n

<\/a><\/noindex><\/p>\n

Expedition (Narz\u0119dzie migracyjne)<\/h2>\n

\n\"Optymalizator
\n
\nBardziej z\u0142o\u017con\u0105 opcj\u0105 sprawdzenia swoich ustawie\u0144 jest pobranie darmowego narz\u0119dzia Expedition<\/a><\/noindex> (dawne Narz\u0119dzie migracyjne). Jest to pobierane jako Virtual Appliance pod VMware, nie wymaga \u017cadnych ustawie\u0144 \u2014 wystarczy pobra\u0107 obraz i uruchomi\u0107 go pod hipernadzorc\u0105 VMware, a nast\u0119pnie zalogowa\u0107 si\u0119 do interfejsu webowego. To narz\u0119dzie wymaga osobnego opisu, kurs dotycz\u0105cy jego obs\u0142ugi trwa 5 dni, tyle teraz funkcji, w tym Machine Learning i migracji r\u00f3\u017cnych konfiguracji polityk, NAT oraz obiekt\u00f3w dla r\u00f3\u017cnych producent\u00f3w Firewall. O Machine Learning napisz\u0119 jeszcze szczeg\u00f3\u0142owiej poni\u017cej w tek\u015bcie.<\/p>\n

<\/a><\/noindex><\/p>\n

Optymalizator polityk<\/h2>\n

\nI najwygodniejsza opcja (IMO), o kt\u00f3rej dzisiaj opowiem szczeg\u00f3\u0142owiej \u2014 optymalizator polityk, wbudowany w interfejs Palo Alto Networks. Aby to zaprezentowa\u0107, zainstalowa\u0142em firewall u siebie w domu i napisa\u0142em proste regu\u0142y: pozw\u00f3l ka\u017cdemu po\u0142\u0105czy\u0107 si\u0119 z ka\u017cdym. Takie regu\u0142y czasami widz\u0119 nawet w sieciach korporacyjnych. Oczywi\u015bcie w\u0142\u0105czy\u0142em wszystkie profile bezpiecze\u0144stwa NGFW, co wida\u0107 na zrzucie ekranu:
\n\"Optymalizator
\n
\nNa zrzucie ekranu poni\u017cej przedstawiono przyk\u0142ad mojego domowego, nie skonfigurowanego firewalla, gdzie prawie wszystkie po\u0142\u0105czenia trafiaj\u0105 do ostatniej regu\u0142y: AllowAll, co wida\u0107 w statystykach w kolumnie Hit Count.
\n\"Optymalizator
\n
\n<\/a><\/noindex><\/p>\n

Zero Trust<\/h2>\n

\nIstnieje podej\u015bcie do bezpiecze\u0144stwa nazwane Zero Trust<\/a><\/noindex>. Co to oznacza: musimy zezwoli\u0107 ludziom wewn\u0105trz sieci dok\u0142adnie na te po\u0142\u0105czenia, kt\u00f3re s\u0105 im potrzebne, a wszystkie inne zablokowa\u0107. Oznacza to, \u017ce musimy doda\u0107 \u015bcis\u0142e zasady dotycz\u0105ce aplikacji, u\u017cytkownik\u00f3w, kategorii URL, typ\u00f3w plik\u00f3w; w\u0142\u0105czy\u0107 wszystkie sygnatury IPS i antywirusowe, w\u0142\u0105czy\u0107 piaskownic\u0119, ochrona DNS, korzysta\u0107 z IoC z dost\u0119pnych baz Threat Intelligence. Og\u00f3lnie rzecz bior\u0105c, zada\u0144 zwi\u0105zanych z konfiguracj\u0105 firewalla jest ca\u0142kiem sporo. <\/p>\n

Zreszt\u0105 minimalny zestaw niezb\u0119dnych ustawie\u0144 dla Palo Alto Networks NGFW opisany jest w jednym z dokument\u00f3w SANS: Palo Alto Networks Security Configuration Benchmark<\/a><\/noindex> \u2014 polecam zacz\u0105\u0107 od niego. Oczywi\u015bcie istnieje r\u00f3wnie\u017c zbi\u00f3r najlepszych praktyk dotycz\u0105cych konfiguracji zapory sieciowej od producenta: Best Practice<\/a><\/noindex>.<\/p>\n

A wi\u0119c mia\u0142em zapor\u0119 sieciow\u0105 w domu przez tydzie\u0144. Sprawd\u017amy, jaki ruch wyst\u0119puje w mojej sieci:
\n\"Optymalizator
\n
\nJe\u015bli posortujemy wed\u0142ug liczby sesji, to najwi\u0119cej ich generuje bittorent, nast\u0119pnie SSL, potem QUIC. To jest wsp\u00f3lna statystyka zar\u00f3wno dla ruchu przychodz\u0105cego, jak i wychodz\u0105cego: bardzo wiele jest zewn\u0119trznych skanowa\u0144 mojego routera. R\u00f3\u017cnych aplikacji w mojej sieci \u2014 150. <\/p>\n

A wi\u0119c to wszystko by\u0142o przepuszczone jednym regu\u0142\u0105. Zobaczmy teraz, co na ten temat m\u00f3wi Policy Optimizer. Je\u015bli wcze\u015bniej patrzy\u0142e\u015b na zrzut ekranu interfejsu z regu\u0142ami bezpiecze\u0144stwa, to w lewym dolnym rogu widzia\u0142e\u015b ma\u0142e okno, kt\u00f3re sugeruje, \u017ce istniej\u0105 regu\u0142y, kt\u00f3re mo\u017cna zoptymalizowa\u0107. Kliknijmy tam.<\/p>\n

Co pokazuje Policy Optimizer:<\/p>\n