{"id":29980,"date":"2019-10-31T21:32:59","date_gmt":"2019-10-31T18:32:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/optimizator-politik-bezopasnosti-palo-alto-networks-ngfw\/"},"modified":"2019-10-31T21:32:59","modified_gmt":"2019-10-31T18:32:59","slug":"optimizator-politik-bezopasnosti-palo-alto-networks-ngfw","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/optimizator-politik-bezopasnosti-palo-alto-networks-ngfw","title":{"rendered":"Optimizator pentru politicile de securitate Palo Alto Networks NGFW","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Cum s\u0103 evalu\u0103m eficien\u021ba configur\u0103rii NGFW<\/h1>\n

\nCea mai frecvent\u0103 sarcin\u0103 este s\u0103 verific\u0103m c\u00e2t de eficient este configurat firewall-ul dumneavoastr\u0103. Exist\u0103 utilitare \u0219i servicii gratuite oferite de companii care se ocup\u0103 cu NGFW. <\/p>\n

De exemplu, mai jos se poate observa c\u0103 compania Palo Alto Networks ofer\u0103 posibilitatea direct din portalul de suport<\/a><\/noindex> s\u0103 lans\u0103m analiza statisticilor firewall-ului \u2014 raportul SLR sau analiza conformit\u0103\u021bii cu cele mai bune practici \u2014 raportul BPA. Acestea sunt utilitare online gratuite, de care se poate beneficia f\u0103r\u0103 a instala nimic.
\n\"Optimizator <\/a><\/noindex><\/p>\n

CUPRINS<\/h3>\n

\nExpedition (Tool de Migrare)<\/a><\/noindex>
\nPolicy Optimizer<\/a><\/noindex>
\nZero Trust<\/a><\/noindex>
\nS\u0103 facem clic pe Unused<\/a><\/noindex>
\nS\u0103 facem clic pe Unused App<\/a><\/noindex>
\nS\u0103 facem clic pe No Apps Specified<\/a><\/noindex>
\nDar ce zice\u021bi de Machine Learning<\/a><\/noindex>
\nUTD<\/a><\/noindex><\/p>\n

<\/a><\/noindex><\/p>\n

Expedition (Tool de Migrare)<\/h2>\n

\n\"Optimizator
\n
\nO variant\u0103 mai complex\u0103 de verificare a set\u0103rilor dumneavoastr\u0103 este s\u0103 desc\u0103rca\u021bi o utilitate gratuit\u0103 Expedition<\/a><\/noindex> (fostul Tool de Migrare). Aceasta se descarc\u0103 ca Virtual Appliance pentru VMware, nu sunt necesare set\u0103ri \u2014 trebuie doar s\u0103 desc\u0103rca\u021bi imaginea \u0219i s\u0103 o desf\u0103\u0219ura\u021bi pe hypervisor-ul VMware, s\u0103 o porni\u021bi \u0219i s\u0103 accesa\u021bi interfa\u021ba web. Aceast\u0103 utilitate necesit\u0103 o explica\u021bie separat\u0103, doar cursul despre aceasta dureaz\u0103 5 zile, av\u00e2nd at\u00e2t de multe func\u021bii acum, inclusiv Machine Learning \u0219i migrarea diferitelor configura\u021bii de politici, NAT \u0219i obiecte pentru diferi\u021bi furnizori de firewall. Despre Machine Learning, voi scrie mai multe detalii mai jos \u00een text.<\/p>\n

<\/a><\/noindex><\/p>\n

Policy Optimizer<\/h2>\n

\n\u0218i cea mai convenabil\u0103 variant\u0103 (IMHO), despre care voi vorbi mai detaliat ast\u0103zi \u2014 optimizatorul de politici, integrat \u00een interfa\u021ba Palo Alto Networks. Pentru a-l demonstra, am instalat un firewall la mine acas\u0103 \u0219i am scris o regul\u0103 simpl\u0103: permit orice c\u0103tre orice. \u00cen principiu, v\u0103d uneori astfel de reguli chiar \u0219i \u00een re\u021belele corporate. Evident, am activat toate profilele de securitate NGFW, a\u0219a cum se poate observa \u00een captura de ecran:
\n\"Optimizator
\n
\nCaptura de ecran de mai jos arat\u0103 un exemplu al firewall-ului meu acas\u0103, neconfigurat, unde aproape toate conexiunile intr\u0103 \u00een ultima regul\u0103: AllowAll, ceea ce este evident din statistica din coloana Hit Count.
\n\"Optimizator
\n
\n<\/a><\/noindex><\/p>\n

Zero Trust<\/h2>\n

\nExist\u0103 o abordare a securit\u0103\u021bii numit\u0103 Zero Trust<\/a><\/noindex>. Ce \u00eenseamn\u0103 aceasta: trebuie s\u0103 permitem oamenilor din interiorul re\u021belei exact acele conexiuni de care au nevoie \u0219i s\u0103 interzicem tot restul. Adic\u0103 trebuie s\u0103 ad\u0103ug\u0103m reguli clare pentru aplica\u021bii, utilizatori, categorii URL, tipuri de fi\u0219iere; s\u0103 activ\u0103m toate semn\u0103turile IPS \u0219i antivirus, s\u0103 activ\u0103m sandbox-ul, protec\u021bia DNS, s\u0103 folosim IoC din bazele disponibile de Threat Intelligence. \u00cen general, sarcinile \u00een configurarea firewall-ului sunt destul de numeroase. <\/p>\n

De fapt, setul minim de configura\u021bii necesare pentru Palo Alto Networks NGFW este descris \u00eentr-unul dintre documentele SANS: Cadru de Configurare a Securit\u0103\u021bii Palo Alto Networks<\/a><\/noindex> \u2014 recomand s\u0103 \u00eencepem cu acesta. \u0218i desigur, exist\u0103 un set de bune practici pentru configurarea firewall-ului de la produc\u0103tor: Cea mai bun\u0103 practic\u0103<\/a><\/noindex>.<\/p>\n

Deci, am avut un firewall acas\u0103 care a stat o s\u0103pt\u0103m\u00e2n\u0103. Haide\u021bi s\u0103 vedem ce trafic exist\u0103 \u00een re\u021beaua mea:
\n\"Optimizator
\n
\nDac\u0103 sort\u0103m dup\u0103 num\u0103rul de sesiuni, cele mai multe sunt create de bittorent, urmate de SSL, apoi QUIC. Aceasta este statistica at\u00e2t pentru traficul de intrare, c\u00e2t \u0219i pentru cel de ie\u0219ire: multe scan\u0103ri externe ale routerului meu. Exist\u0103 150 de aplica\u021bii \u00een re\u021beaua mea. <\/p>\n

Deci, tot acest trafic a fost permis de o singur\u0103 regul\u0103. S\u0103 vedem acum ce spune Policy Optimizer despre acest lucru. Dac\u0103 te-ai uitat mai sus la captura de ecran a interfe\u021bei cu regulile de securitate, ai v\u0103zut \u00een col\u021bul din st\u00e2nga jos o mic\u0103 fereastr\u0103 care \u00eemi sugereaz\u0103 c\u0103 exist\u0103 reguli ce pot fi optimizate. Haide\u021bi s\u0103 d\u0103m clic acolo.<\/p>\n

Ce arat\u0103 Policy Optimizer:<\/p>\n