{"id":29980,"date":"2019-10-31T21:32:59","date_gmt":"2019-10-31T18:32:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/optimizator-politik-bezopasnosti-palo-alto-networks-ngfw\/"},"modified":"2019-10-31T21:32:59","modified_gmt":"2019-10-31T18:32:59","slug":"optimizator-politik-bezopasnosti-palo-alto-networks-ngfw","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/optimizator-politik-bezopasnosti-palo-alto-networks-ngfw","title":{"rendered":"Otimizador de Pol\u00edticas de Seguran\u00e7a do Palo Alto Networks NGFW","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Como Avaliar a Efic\u00e1cia da Configura\u00e7\u00e3o do NGFW<\/h1>\n

\nA tarefa mais comum \u00e9 verificar qu\u00e3o efetivamente seu firewall foi configurado. Para isso, existem utilit\u00e1rios e servi\u00e7os gratuitos oferecidos por empresas que trabalham com NGFW. <\/p>\n

Por exemplo, abaixo \u00e9 poss\u00edvel ver que a empresa Palo Alto Networks permite diretamente do portal de suporte<\/a><\/noindex> realizar uma an\u00e1lise das estat\u00edsticas do firewall \u2014 relat\u00f3rio SLR ou an\u00e1lise de conformidade com as melhores pr\u00e1ticas \u2014 relat\u00f3rio BPA. Estas s\u00e3o ferramentas online gratuitas que podem ser usadas sem instala\u00e7\u00e3o.
\n\"Otimizador <\/a><\/noindex><\/p>\n

CONTE\u00daDO<\/h3>\n

\nExpedition (Ferramenta de Migra\u00e7\u00e3o)<\/a><\/noindex>
\nOtimizador de Pol\u00edticas<\/a><\/noindex>
\nZero Trust<\/a><\/noindex>
\nClique em Unused<\/a><\/noindex>
\nClique em Unused App<\/a><\/noindex>
\nClique em No Apps Specified<\/a><\/noindex>
\nE quanto ao Machine Learning<\/a><\/noindex>
\nUTD<\/a><\/noindex><\/p>\n

<\/a><\/noindex><\/p>\n

Expedition (Ferramenta de Migra\u00e7\u00e3o)<\/h2>\n

\n\"Otimizador
\n
\nUma op\u00e7\u00e3o mais complexa para revisar suas configura\u00e7\u00f5es \u00e9 baixar a ferramenta gratuita Expedition<\/a><\/noindex> (anteriormente a Ferramenta de Migra\u00e7\u00e3o). Ela \u00e9 baixada como Appliance Virtual para VMware, n\u00e3o necessita de configura\u00e7\u00f5es \u2014 basta baixar a imagem e implant\u00e1-la no hipervisor VMware, iniciar e acessar a interface web. Esta ferramenta merece uma descri\u00e7\u00e3o separada, apenas o curso sobre ela leva 5 dias, tamanho o n\u00famero de fun\u00e7\u00f5es dispon\u00edveis, incluindo Machine Learning e migra\u00e7\u00e3o de diferentes configura\u00e7\u00f5es de pol\u00edticas, NAT e objetos para diversos fabricantes de firewall. Sobre Machine Learning, falarei mais detalhadamente mais adiante no texto.<\/p>\n

<\/a><\/noindex><\/p>\n

Otimizador de Pol\u00edticas<\/h2>\n

\nE a op\u00e7\u00e3o mais conveniente (na minha opini\u00e3o), sobre a qual falarei em mais detalhes hoje \u2014 o otimizador de pol\u00edticas integrado \u00e0 pr\u00f3pria interface do Palo Alto Networks. Para demonstr\u00e1-lo, instalei um firewall em casa e escrevi uma regra simples: permitir qualquer coisa para qualquer coisa. Na verdade, vejo essas regras at\u00e9 mesmo em redes corporativas. \u00c9 claro que ativei todos os perfis de seguran\u00e7a do NGFW, como \u00e9 poss\u00edvel ver na captura de tela:
\n\"Otimizador
\n
\nNa captura de tela abaixo, est\u00e1 um exemplo do meu firewall dom\u00e9stico n\u00e3o configurado, onde quase todas as conex\u00f5es caem na \u00faltima regra: AllowAll, o que \u00e9 vis\u00edvel pelas estat\u00edsticas na coluna Contagem de Hits.
\n\"Otimizador
\n
\n<\/a><\/noindex><\/p>\n

Zero Trust<\/h2>\n

\nExiste uma abordagem para seguran\u00e7a chamada Zero Trust<\/a><\/noindex>. O que isso significa: devemos permitir que as pessoas dentro da rede realizem exatamente as conex\u00f5es de que precisam e proibir todas as outras. Ou seja, precisamos adicionar regras claras sobre aplicativos, usu\u00e1rios, categorias de URL, tipos de arquivos; incluir todas as assinaturas de IPS e antiv\u00edrus, ativar a sandbox, prote\u00e7\u00e3o DNS, utilizar IoC das bases dispon\u00edveis de Threat Intelligence. Em resumo, h\u00e1 uma quantidade consider\u00e1vel de tarefas ao configurar o firewall. <\/p>\n

Ali\u00e1s, o conjunto m\u00ednimo de configura\u00e7\u00f5es necess\u00e1rias para o Palo Alto Networks NGFW est\u00e1 descrito em um dos documentos da SANS: Palo Alto Networks Security Configuration Benchmark<\/a><\/noindex> \u2014 recomendo come\u00e7ar por ele. E, claro, h\u00e1 um conjunto de melhores pr\u00e1ticas para configura\u00e7\u00e3o de firewall em documentos do fabricante: Best Practice<\/a><\/noindex>.<\/p>\n

Ent\u00e3o, eu deixei o firewall em casa durante uma semana. Vamos ver qual tr\u00e1fego existe na minha rede:
\n\"Otimizador
\n
\nSe ordenarmos pelo n\u00famero de sess\u00f5es, o bittorent gera mais tr\u00e1fego, seguido pelo SSL, depois o QUIC. Esta \u00e9 a estat\u00edstica combinada do tr\u00e1fego de entrada e sa\u00edda: h\u00e1 muitas varreduras externas do meu roteador. Existem 150 aplicativos diferentes na minha rede. <\/p>\n

Assim, tudo isso foi permitido por uma \u00fanica regra. Vamos ver agora o que o Policy Optimizer tem a dizer sobre isso. Se voc\u00ea olhou acima na captura de tela da interface com as regras de seguran\u00e7a, viu um pequeno quadro no canto inferior esquerdo, que me sugere que existem regras que podem ser otimizadas. Vamos clicar ali.<\/p>\n

O que o Policy Optimizer mostra:<\/p>\n