Како проценити ефикасност НГФВ подешавања

Најчешћи задатак је да проверите колико је ефикасно ваш заштитни зид конфигурисан. Да бисте то урадили, постоје бесплатни услужни програми и услуге компанија које се баве НГФВ.

На пример, испод можете видети да Пало Алто Нетворкс има могућност да директно из портал подршке покренути анализу статистике заштитног зида – СЛР извештај или анализу усклађености са најбољим праксама – БПА извештај. Ово су бесплатни услужни програми на мрежи које можете користити без било чега да инсталирате.

САДРЖАЈ

Експедиција (алатка за миграцију)
Полици Оптимизер
Зеро Труст
Кликните на Неискоришћено
Кликните на Неискоришћена апликација
Кликните на Нема наведених апликација
Шта је са машинским учењем?
УТД

Експедиција (алатка за миграцију)

Сложенија опција за проверу подешавања је преузимање бесплатног услужног програма Експедиција (раније Алат за миграцију). Преузима се као виртуелни уређај за ВМваре, уз њега нису потребна никаква подешавања - потребно је да преузмете слику и поставите је под ВМваре хипервизором, покренете је и одете на веб интерфејс. Овај услужни програм захтева посебну причу, само курс траје 5 дана, сада има толико функција, укључујући машинско учење и миграцију различитих конфигурација политика, НАТ-а и објеката за различите произвођаче заштитног зида. Написаћу више о машинском учењу у наставку текста.

Полици Оптимизер

А најпогоднија опција (ИМХО), о којој ћу вам данас детаљније рећи, је оптимизатор политике уграђен у сам интерфејс Пало Алто Нетворкс. Да бих то показао, инсталирао сам заштитни зид код куће и написао једноставно правило: дозволи било коме било ком. У принципу, понекад видим таква правила чак иу корпоративним мрежама. Наравно, омогућио сам све НГФВ безбедносне профиле, као што можете видети на снимку екрана:


На слици испод приказан је пример мог кућног неконфигурисаног заштитног зида, где скоро све везе спадају у последње правило: Дозволи све, као што се може видети из статистике у колони Број погодака.

Зеро Труст

Постоји приступ безбедности тзв Зеро Труст. Шта то значи: морамо дозволити људима унутар мреже управо оне везе које су им потребне и ускратити све остало. То јест, морамо да додамо јасна правила за апликације, кориснике, УРЛ категорије, типове датотека; омогућите све ИПС и антивирусне потписе, омогућите сандбокинг, ДНС заштиту, користите ИоЦ из доступних база података Тхреат Интеллигенце. Генерално, постоји пристојан број задатака приликом постављања заштитног зида.

Иначе, минимални скуп потребних подешавања за Пало Алто Нетворкс НГФВ описан је у једном од докумената САНС-а: Бенцхмарк конфигурације безбедности мреже Пало Алто - Препоручујем да почнете од тога. И наравно, постоји низ најбољих пракси за постављање заштитног зида од произвођача: Најбоља пракса.

Дакле, имао сам заштитни зид код куће недељу дана. Да видимо какав саобраћај има на мојој мрежи:


Ако сортирате по броју сесија, онда их већина креира битторент, затим долази ССЛ, па КУИЦ. Ово су статистике и за долазни и за одлазни саобраћај: постоји много екстерних скенирања мог рутера. На мојој мрежи постоји 150 различитих апликација.

Дакле, све ово је промакло једно правило. Хајде сада да видимо шта Оптимизатор политика каже о овоме. Ако сте изнад погледали снимак екрана интерфејса са безбедносним правилима, онда сте у доњем левом углу видели мали прозор који ми наговештава да постоје правила која се могу оптимизовати. Хајде да кликнемо тамо.

Шта оптимизатор смерница приказује:

• Које политике уопште нису коришћене, 30 дана, 90 дана. Ово помаже у доношењу одлуке да их потпуно уклоните.
• Које апликације су наведене у смерницама, али такве апликације нису откривене у саобраћају. Ово вам омогућава да уклоните непотребне апликације у правилима за дозвољавање.
• Које политике су све дозвољавале, али је заправо било апликација које би било лепо експлицитно назначити према методологији Зеро Труст.

Хајде да кликнемо на Неискоришћено.

Да покажем како то функционише, додао сам неколико правила и до сада нису пропустили ниједан пакет данас. Ево њихове листе:

Можда ће временом тамо бити саобраћаја и онда ће они нестати са ове листе. А ако су на овој листи 90 дана, онда можете одлучити да избришете ова правила. На крају крајева, свако правило пружа прилику за хакера.

Постоји прави проблем при конфигурисању заштитног зида: дође нови запослени, погледа правила заштитног зида, ако немају коментаре и не зна зашто је ово правило направљено, да ли је заиста потребно, да ли може бити обрисан: особа је изненада на одмору и након 30 дана саобраћај ће поново тећи из услуге која му је потребна. И управо му ова функција помаже да донесе одлуку – нико је не користи – обришите!

Кликните на Неискоришћена апликација.

Кликнемо на Некоришћену апликацију у оптимизатору и видимо да се у главном прозору отварају занимљиве информације.

Видимо да постоје три правила, где се број дозвољених пријава и број апликација које су стварно прошле ово правило разликују.

Можемо кликнути и видети листу ових апликација и упоредити ове листе.
На пример, кликните на дугме Упореди за Мак правило.

Овде можете видети да су апликације фацебоок, инстаграм, телеграм, вконтакте дозвољене. Али у стварности, саобраћај је ишао само на неке под-апликације. Овде треба да схватите да фацебоок апликација садржи неколико под-апликација.

Целокупна листа НГФВ апликација може се видети на порталу апплипедиа.палоалтонетворкс.цом а у самом интерфејсу заштитног зида, у одељку Објецтс->Апплицатионс и у претрази укуцајте име апликације: фацебоок, добићете следећи резултат:

Дакле, НГФВ је видео неке од ових под-апликација, али неке није. У ствари, можете засебно забранити и дозволити различите подфункције Фацебоока. На пример, дозволите преглед порука, али забраните ћаскање или пренос датотека. Сходно томе, Полици Оптимизер говори о томе и можете донети одлуку: не дозволити све Фацебоок апликације, већ само оне главне.

Дакле, схватили смо да су спискови различити. Можете се уверити да правила дозвољавају само оне апликације које стварно путују мрежом. Да бисте то урадили, кликните на дугме МатцхУсаге. Испада овако:

Такође можете да додате апликације које сматрате неопходним - дугме Додај на левој страни прозора:

А онда се ово правило може применити и тестирати. Честитам!

Кликните на Нема наведених апликација.

У овом случају, отвориће се важан безбедносни прозор.

Највероватније постоји много таквих правила у вашој мрежи где апликација нивоа Л7 није експлицитно наведена. И у мојој мрежи постоји такво правило – да вас подсетим да сам га направио током почетног подешавања, посебно да бих показао како функционише оптимизатор политика.

На слици се види да је правило АлловАлл дозвољавало 9 гигабајта саобраћаја у периоду од 17. до 220. марта, што је 150 различитих апликација у мојој мрежи. И то није довољно. Типично, просечна корпоративна мрежа има 200-300 различитих апликација.

Дакле, једно правило пропушта чак 150 пријава. Обично то значи да заштитни зид није исправно конфигурисан, јер обично једно правило дозвољава 1-10 апликација за различите намене. Хајде да видимо које су ове апликације: кликните на дугме Упореди:

Најдивнија ствар за администратора у функцији Полици Оптимизер је дугме Матцх Усаге – једним кликом можете да креирате правило, где ћете у правило унети свих 150 апликација. Да бисте ово урадили ручно, требало би доста времена. Број задатака на којима администратор може да ради, чак и на мојој мрежи од 10 уређаја, је огроман.

Имам 150 различитих апликација које раде код куће, преносе гигабајте саобраћаја! А колико имаш?

Али шта се дешава у мрежи од 100 уређаја или 1000 или 10000? Видео сам заштитне зидове са 8000 правила и веома ми је драго што администратори сада имају тако згодне алате за аутоматизацију.

Неке од апликација које је модул за анализу апликација Л7 у НГФВ-у видео и показао вам неће требати на мрежи, па их једноставно уклоните са листе дозвољених правила или клонирајте правила помоћу дугмета Клон (у главном интерфејсу) и дозволите их у једном правилу апликације, а у Ви ћете блокирати друге апликације јер дефинитивно нису потребне на вашој мрежи. Такве апликације често укључују битторент, стеам, ултрасурф, тор, скривене тунеле као што су тцп-овер-днс и друге.

Па, хајде да кликнемо на друго правило и видимо шта тамо можете видети:

Да, постоје апликације типичне за мултицаст. Морамо им омогућити да гледају видео на мрежи. Кликните на Употреба подударања. Велики! Хвала оптимизатору политика.

Шта је са машинским учењем?

Сада је модерно говорити о аутоматизацији. Испало је оно што сам описао - много помаже. Постоји још једна могућност о којој треба да говорим. Ово је функционалност машинског учења уграђена у услужни програм Екпедитион, који је већ поменут горе. У овом услужном програму могуће је пренети правила са вашег старог заштитног зида од другог произвођача. Такође постоји могућност анализе постојећих евиденција саобраћаја Пало Алто Нетворкс и сугерисања која правила треба написати. Ово је слично функционалности Полици Оптимизер-а, али је у Екпедитион-у још проширеније и нуди вам се листа готових правила - само их треба одобрити.
За тестирање ове функционалности постоји лабораторијски рад - ми то зовемо пробна вожња. Овај тест се може урадити пријављивањем на виртуелне заштитне зидове, које ће запослени у канцеларији Пало Алто Нетворкс у Москви покренути на ваш захтев.

Захтев се може послати на [емаил заштићен] и у захтеву напишите: „Желим да направим УТД за процес миграције.“

У ствари, лабораторијски рад под називом Унифиед Тест Дриве (УТД) има неколико опција и све доступно на даљину након захтева.

Само регистровани корисници могу учествовати у анкети. Пријавите се, Добродошао си.

Да ли бисте желели да вам неко помогне да оптимизујете смернице заштитног зида?

• Да

• Не

• Урадићу све сам

Још нико није гласао. Нема уздржаних.

Извор: ввв.хабр.цом