Olá a todos! Dando continuidade a este quero falar mais sobre as funcionalidades que a solução Sophos XG Firewall oferece e apresentar a interface da web. Artigos e documentos comerciais são bons, mas sempre é interessante ver como a solução se apresenta na prática. Como tudo funciona lá? Vamos começar a nossa análise.
Neste artigo, será mostrada a primeira parte da funcionalidade do Sophos XG Firewall — ‘Monitoramento e Análise’. A análise completa será publicada como uma série de artigos. Vamos nos basear na interface da web do Sophos XG Firewall e na tabela de licenciamento.
Centro de Gerenciamento de Segurança
E assim, abrimos o navegador e acessamos a interface da web do nosso NGFW, onde vemos um convite para inserir o login e a senha para acessar o painel administrativo.
Inserimos o login e a senha que definimos durante a ativação inicial e acessamos o nosso centro de gerenciamento. Ele se apresenta assim.
Quase todos os widgets aqui são clicáveis. É possível acessar os incidentes e ver os detalhes.
Vamos analisar cada um dos blocos, começando pelo bloco System.
Bloco System
Este bloco exibe o estado da máquina em tempo real. Se clicarmos em qualquer um dos ícones, iremos para uma página com informações mais detalhadas sobre o estado do sistema.
Se houver problemas no sistema, este widget sinalizará, e na página de informações podemos ver a causa.
Ao navegar pelas abas, é possível obter mais informações sobre diferentes aspectos do funcionamento do firewall.
Bloco Traffic Insight
Esta seção nos dá uma ideia do que está acontecendo em nossa rede no momento e o que ocorreu nas últimas 24 horas. As 5 principais categorias de sites e aplicativos por tráfego, ataques de rede (ativação do módulo IPS) e os 5 principais aplicativos bloqueados.
Além disso, vale destacar a seção Cloud Applications. Nela, podemos ver a presença de aplicativos na rede local que utilizam serviços em nuvem. O número total deles, tráfego de entrada e saída. Se clicarmos neste widget, iremos para a página de informações sobre aplicativos em nuvem, onde poderemos ver com mais detalhes quais aplicativos estão na rede, quem os utiliza e informações sobre o tráfego.
Bloco User & device insights
Este bloco mostra informações sobre os usuários. A linha superior exibe informações sobre computadores infectados dos usuários, coletando dados do antivírus da Sophos e enviando-as ao Sophos XG Firewall. Com base nessas informações, o Firewall pode, em caso de infecção, desconectar o computador do usuário da rede local ou do segmento de rede no nível L2, bloqueando todas as conexões com ele. Mais detalhes sobre o Security Heartbeat foram apresentados em . A seguir, duas linhas — controle de aplicações e sandbox na nuvem. Como essa é uma funcionalidade separada, ela não será abordada neste artigo.
É importante observar dois widgets inferiores. São o ATP (Proteção Avançada contra Ameaças) e o UTQ (Quociente de Ameaça do Usuário).
O módulo ATP bloqueia conexões com C&C, servidores de controle de redes botnet. Se um dispositivo em sua rede local for infectado por uma botnet, esse módulo notificará sobre isso e impedirá a conexão com o servidor de controle. Isso se apresenta da seguinte forma
O módulo UTQ atribui a cada usuário um índice de segurança. Quanto mais um usuário tenta acessar sites proibidos ou executar aplicativos não permitidos, maior se torna sua classificação. Com base nesses dados, é possível antecipadamente treiná-los, sem esperar que, em última instância, seu computador seja infectado por malware. A apresentação disso é como
Em seguida, vem a seção de informações gerais sobre as regras de firewall ativas e relatórios rápidos que podem ser baixados em formato pdf.
Vamos para a próxima seção do menu — Atividades atuais
Atividades atuais
Começaremos a revisão pela aba Usuários ao vivo. Nesta página, podemos ver quem dos usuários está atualmente conectado ao Sophos XG Firewall, o método de autenticação, o endereço IP da máquina, o horário da conexão e o volume de tráfego.
Conexões ao vivo
Nesta aba, são exibidas sessões ativas em tempo real. Esta tabela pode ser filtrada por aplicativos, usuários e endereços IP das máquinas cliente.
Conexões IPsec
Nesta aba, são exibidas informações sobre as conexões ativas de VPN IPsec.
Aba Usuários remotos
Na aba Usuários remotos, encontra-se informação sobre usuários remotos conectados via SSL VPN.
Além disso, nesta aba, é possível visualizar o tráfego por usuários em tempo real e desconectar qualquer usuário manualmente.
Vamos pular a aba Relatórios, pois o sistema de relatórios deste produto é muito extenso e requer um artigo separado.
Diagnósticos
A página com várias ferramentas de busca de problemas é aberta imediatamente. Elas incluem Ping, Traceroute, Name lookup, Route lookup.
Em seguida, há uma aba com gráficos do sistema que mostram a carga do hardware e das portas em tempo real.
Gráficos do sistema
Depois, uma aba onde é possível verificar a categoria do recurso da web.
Pesquisa de categoria de URL
A próxima aba Captura de pacotes é, na verdade, um tcpdump integrado à interface web. Também é possível escrever filtros.
Captura de pacotes
Vale a pena notar que os pacotes são convertidos em uma tabela, onde é possível ativar e desativar colunas adicionais com informações. Essa funcionalidade é muito útil para identificar problemas de rede, por exemplo — é possível entender rapidamente quais regras de filtragem foram aplicadas ao tráfego real.
Na aba Lista de Conexões, é possível visualizar todas as conexões existentes em tempo real e as informações sobre elas.
Lista de Conexões
Conclusão
Com isso, encerramos a primeira parte da análise. Abordamos apenas uma pequena parte da funcionalidade disponível e não tocamos nos módulos de segurança. No próximo artigo, abordaremos a funcionalidade integrada de relatórios e as regras de firewall, suas categorias e finalidades.
Obrigado por seu tempo.
Se você tiver perguntas sobre a versão comercial do XG Firewall, você pode entrar em contato conosco — a empresa , distribuidor da Sophos. Basta escrever de forma livre para .
Fonte: habr.com
