Como Avaliar a Eficácia da Configuração do NGFW
A tarefa mais comum é verificar quão efetivamente seu firewall foi configurado. Para isso, existem utilitários e serviços gratuitos oferecidos por empresas que trabalham com NGFW.
Por exemplo, abaixo é possível ver que a empresa Palo Alto Networks permite diretamente do realizar uma análise das estatísticas do firewall — relatório SLR ou análise de conformidade com as melhores práticas — relatório BPA. Estas são ferramentas online gratuitas que podem ser usadas sem instalação.
CONTEÚDO
Expedition (Ferramenta de Migração)
Uma opção mais complexa para revisar suas configurações é baixar a ferramenta gratuita (anteriormente a Ferramenta de Migração). Ela é baixada como Appliance Virtual para VMware, não necessita de configurações — basta baixar a imagem e implantá-la no hipervisor VMware, iniciar e acessar a interface web. Esta ferramenta merece uma descrição separada, apenas o curso sobre ela leva 5 dias, tamanho o número de funções disponíveis, incluindo Machine Learning e migração de diferentes configurações de políticas, NAT e objetos para diversos fabricantes de firewall. Sobre Machine Learning, falarei mais detalhadamente mais adiante no texto.
Otimizador de Políticas
E a opção mais conveniente (na minha opinião), sobre a qual falarei em mais detalhes hoje — o otimizador de políticas integrado à própria interface do Palo Alto Networks. Para demonstrá-lo, instalei um firewall em casa e escrevi uma regra simples: permitir qualquer coisa para qualquer coisa. Na verdade, vejo essas regras até mesmo em redes corporativas. É claro que ativei todos os perfis de segurança do NGFW, como é possível ver na captura de tela:
Na captura de tela abaixo, está um exemplo do meu firewall doméstico não configurado, onde quase todas as conexões caem na última regra: AllowAll, o que é visível pelas estatísticas na coluna Contagem de Hits.
Zero Trust
Existe uma abordagem para segurança chamada . O que isso significa: devemos permitir que as pessoas dentro da rede realizem exatamente as conexões de que precisam e proibir todas as outras. Ou seja, precisamos adicionar regras claras sobre aplicativos, usuários, categorias de URL, tipos de arquivos; incluir todas as assinaturas de IPS e antivírus, ativar a sandbox, proteção DNS, utilizar IoC das bases disponíveis de Threat Intelligence. Em resumo, há uma quantidade considerável de tarefas ao configurar o firewall.
Aliás, o conjunto mínimo de configurações necessárias para o Palo Alto Networks NGFW está descrito em um dos documentos da SANS: — recomendo começar por ele. E, claro, há um conjunto de melhores práticas para configuração de firewall em documentos do fabricante: .
Então, eu deixei o firewall em casa durante uma semana. Vamos ver qual tráfego existe na minha rede:
Se ordenarmos pelo número de sessões, o bittorent gera mais tráfego, seguido pelo SSL, depois o QUIC. Esta é a estatística combinada do tráfego de entrada e saída: há muitas varreduras externas do meu roteador. Existem 150 aplicativos diferentes na minha rede.
Assim, tudo isso foi permitido por uma única regra. Vamos ver agora o que o Policy Optimizer tem a dizer sobre isso. Se você olhou acima na captura de tela da interface com as regras de segurança, viu um pequeno quadro no canto inferior esquerdo, que me sugere que existem regras que podem ser otimizadas. Vamos clicar ali.
O que o Policy Optimizer mostra:
- Quais políticas não foram usadas de forma alguma, 30 dias, 90 dias. Isso ajuda a decidir remover essas regras completamente.
- Quais aplicativos estavam indicados nas políticas, mas esses aplicativos não foram encontrados no tráfego. Isso possibilita a remoção de aplicativos desnecessários das regras permissivas.
- Quais políticas permitiam tudo, mas realmente havia aplicativos que, segundo a metodologia Zero Trust, seria bom especificar claramente.
Vamos clicar em Unused.
Para demonstrar como isso funciona, eu adicionei algumas regras e, até agora, nenhuma delas permitiu a passagem de pacotes hoje. Aqui está a lista dessas regras:
É possível que, com o tempo, algum tráfego passe por essas regras e então desapareçam da lista. Caso permaneçam nesta lista por 90 dias — você pode decidir removê-las. Afinal, cada regra oferece uma oportunidade para um hacker.
Há um problema real ao configurar um firewall: um novo funcionário olha as regras do firewall e, se não houver comentários e ele não souber por que essa regra foi criada, se ela é realmente necessária ou se pode ser removida: e se a pessoa estiver de férias e em 30 dias o tráfego voltar a fluir do serviço que ele precisa. E é essa função que o ajuda a tomar uma decisão — ninguém está usando — remova!
Vamos clicar em Unused App.
Clicamos no otimizador em Unused App e vemos que uma informação interessante se abre na janela principal.
Observamos que existem três regras em que o número de aplicativos permitidos e o número de aplicativos que realmente passaram por essa regra são diferentes.
Podemos clicar e visualizar a lista desses aplicativos e comparar essas listas.
Por exemplo, vamos clicar no botão Compare para a regra Max.
Aqui podemos ver que aplicativos como facebook, instagram, telegram, vkontakte foram permitidos. Mas o tráfego realmente passou apenas por parte dos subaplicativos. É importante entender que o aplicativo facebook contém vários subaplicativos.
A lista completa de aplicativos NGFW pode ser vista no portal e na própria interface do firewall na seção Objects->Applications, e no campo de busca digite o nome do aplicativo: facebook, você obterá este resultado:
Assim, parte desses subaplicativos NGFW foi vista, enquanto outra parte não. Na verdade, você pode proibir e permitir diferentes funcionalidades do facebook separadamente. Por exemplo, permitir ver mensagens, mas proibir chat ou transferência de arquivos. Portanto, o Policy Optimizer menciona isso e você pode tomar uma decisão: permitir não todos os aplicativos do facebook, mas apenas os principais.
Então, entendemos que as listas são diferentes. Você pode configurar as regras para permitir exatamente os aplicativos que realmente passaram pela rede. Para isso, você clica no botão MatchUsage. Fica assim:
E também pode adicionar aplicativos que você considera necessários — o botão Add na parte esquerda da janela:
E então essa regra pode ser aplicada e testada. Parabéns!
Vamos clicar em No Apps Specified.
Neste caso, uma janela importante para garantir a segurança será aberta.
Provavelmente existem muitas regras em sua rede onde o aplicativo de nível L7 não está explicitamente mencionado. E na minha rede há uma dessas regras — lembre-se de que a criei durante a configuração inicial, especificamente para mostrar como funciona o Policy Optimizer.
Na imagem, vemos que a regra AllowAll permitiu um tráfego de 220 gigabytes entre 9 e 17 de março, o que corresponde a 150 aplicativos diferentes na minha rede. E isso ainda é pouco. Normalmente, em uma rede corporativa de tamanho médio, há de 200 a 300 aplicativos diferentes.
Assim, uma regra permite até 150 aplicativos. Normalmente, isso significa que o firewall está configurado incorretamente, pois geralmente em uma regra são permitidos de 1 a 10 aplicativos para diferentes finalidades. Vamos ver quais são esses aplicativos: clique no botão Compare:
O mais incrível para o administrador na função Policy Optimizer é o botão Match Usage — você pode criar uma regra com um único clique, onde incluirá todos os 150 aplicativos. Fazer isso manualmente seria bastante demorado. O número de tarefas para um administrador, mesmo na minha rede de 10 dispositivos, é enorme.
Em casa, tenho 150 aplicativos diferentes, transmitindo gigabytes de tráfego! E quanto a você?
E o que acontece em uma rede de 100 dispositivos ou 1000 ou 10000? Eu já vi firewalls com 8000 regras e estou muito feliz que agora os administradores têm ferramentas de automação tão convenientes.
Alguns aplicativos que o módulo de análise de aplicativos L7 no NGFW encontrou e mostrou podem não ser necessários em sua rede, então você pode simplesmente removê-los da lista de regras permitidas, ou clonar as regras usando o botão Clone (na interface principal) e em uma regra permitir os aplicativos, enquanto na outra você bloqueará os aplicativos que não são necessários na sua rede. Esses aplicativos costumam ser bittorrent, steam, ultrasurf, tor, túneis ocultos como tcp-over-dns e outros.
Vamos clicar em outra regra — o que aparece:
Sim, aqui estão aplicativos típicos de multicast. Precisamos permitir que eles funcionem para que a visualização de vídeos pela rede funcione. Clicamos em Match Usage. Ótimo! Obrigado, Policy Optimizer.
E quanto ao Machine Learning.
Atualmente, é comum falar sobre automação. O que descrevi anteriormente é muito útil. Existe outra possibilidade que preciso mencionar. É a funcionalidade de Machine Learning incorporada na ferramenta Expedition, que já foi mencionada anteriormente. Nesta ferramenta, há a possibilidade de transferir regras do seu antigo firewall de outro fabricante. Além disso, há a função de analisar os logs de tráfego da Palo Alto Networks e sugerir quais regras devem ser criadas. Isso é semelhante à funcionalidade do Policy Optimizer, mas no Expedition ela é ainda mais abrangente e você já recebe uma lista de regras prontas — só precisa aprová-las.
Para testar essa funcionalidade, existe um trabalho de laboratório — chamamos isso de test drive. Esse teste pode ser feito acessando os firewalls virtuais que os funcionários do escritório da Palo Alto Networks em Moscou ativarão a seu pedido.
O pedido pode ser enviado para o endereço Russia@paloaltonetworks.com e na solicitação deve constar: "Quero realizar o UTD sobre o Processo de Migração".
Na verdade, existem várias opções de trabalhos de laboratório com o nome Unified Test Drive (UTD) e todas elas após o pedido.
Apenas usuários registrados podem participar da pesquisa. , por favor.
Você gostaria que alguém o ajudasse a otimizar as políticas do seu firewall?
Sim
Não
Farei tudo sozinho
Ninguém ainda votou. Não há abstenções.
Fonte: habr.com
