SÄ bedömer du effektiviteten i konfigurationen av NGFW
Den vanligaste uppgiften Àr att kontrollera hur effektivt din brandvÀgg Àr konfigurerad. Det finns gratis verktyg och tjÀnster frÄn företag som arbetar med NGFW för detta.
Till exempel, nedan kan man se att Palo Alto Networks erbjuder möjligheten direkt frĂ„n att starta en analys av brandvĂ€ggens statistik â SLR-rapport eller analys av överensstĂ€mmelse med bĂ€sta praxis â BPA-rapport. Dessa Ă€r gratis onlineverktyg som kan anvĂ€ndas utan installation.
INNEHĂ LL
Expedition (Migreringsverktyg)
Ett mer avancerat alternativ för att kontrollera dina instĂ€llningar Ă€r att ladda ner det gratis verktyget (fd Migreringsverktyg). Det laddas ner som en Virtuell Appliance för VMware, inga instĂ€llningar behövs â du behöver bara ladda ner avbilden och implementera den pĂ„ VMware-hypervisorn, starta den och gĂ„ in i webbgrĂ€nssnittet. Detta verktyg förtjĂ€nar en egen berĂ€ttelse, endast kursen om det tar 5 dagar, sĂ„ mĂ„nga funktioner finns nu, inklusive MaskininlĂ€rning och migration av olika konfigurationspolicyer, NAT och objekt för olika brandvĂ€ggstillverkare. Jag kommer att skriva mer om MaskininlĂ€rning lĂ€ngre ner i texten.
Policyoptimerare
Och den mest bekvĂ€ma lösningen (IMHO), som jag idag kommer att berĂ€tta mer om â policyoptimeraren inbyggd i grĂ€nssnittet för Palo Alto Networks. För att demonstrera detta installerade jag en brandvĂ€gg hemma och skrev en enkel regel: permit any to any. SĂ„dana regler ser jag faktiskt ibland Ă€ven i företagsnĂ€tverk. Naturligtvis aktiverade jag alla sĂ€kerhetsprofiler för NGFW, som man kan se pĂ„ skĂ€rmdumpen:
PÄ skÀrmdumpen nedan visas ett exempel pÄ min hembrandvÀgg som inte Àr konfigurerad, dÀr nÀstan alla anslutningar hamnar i den sista regeln: AllowAll, vilket framgÄr av statistiken i kolumnen Hit Count.
Zero Trust
Det finns en sÀkerhetsansats kallad . Vad detta betyder: vi mÄste tillÄta mÀnniskor inom nÀtverket att göra precis de anslutningar de behöver och blockera allt annat. Det innebÀr att vi mÄste lÀgga till tydliga regler för applikationer, anvÀndare, URL-kategorier och filtyper; inkludera alla IPS- och antivirus-signaturer, aktivera sandlÄdssfunktionen, DNS-skydd och anvÀnda IoC frÄn tillgÀngliga Threat Intelligence-databaser. Sammanfattningsvis finns det ett anseende antal uppgifter nÀr man konfigurerar en brandvÀgg.
För övrigt beskrivs den minimala uppsĂ€ttningen nödvĂ€ndiga instĂ€llningar för Palo Alto Networks NGFW i ett av SANS-dokumenten: â jag rekommenderar att börja med det. SjĂ€lvklart finns det ocksĂ„ en uppsĂ€ttning bĂ€sta praxis för brandvĂ€ggskonfigurationer frĂ„n tillverkaren: .
SÄ, jag har haft en brandvÀgg stÄende hemma i en vecka. LÄt oss se vilken trafik som finns i mitt nÀtverk:
Om vi sorterar efter antalet sessioner sÄ genererar bittorrent flest, följt av SSL och sedan QUIC. Detta Àr tillsammans statistiken för bÄde inkommande och utgÄende trafik: det pÄgÄr mycket extern skanning av min router. Det finns 150 olika applikationer i mitt nÀtverk.
SÄ, allt detta har slÀppts igenom av en regel. LÄt oss nu titta pÄ vad Policy Optimizer har att sÀga om detta. Om du tittade pÄ skÀrmbilden tidigare med sÀkerhetsreglerna, sÄg du en liten ruta nere till vÀnster som antyder att det finns regler som kan optimeras. LÄt oss klicka dÀr.
Vad visar Policy Optimizer:
- Vilka policyer som inte har anvÀnts alls, pÄ 30 dagar, 90 dagar. Detta hjÀlper till att fatta beslut om att ta bort dem helt.
- Vilka applikationer som angavs i policyerna, men sÄdana applikationer har inte upptÀckts i trafiken. Detta gör det möjligt att ta bort överflödiga applikationer i tillÄtande regler.
- Vilka policyer som tillÀt allt, men dÀr det faktiskt fanns applikationer som enligt Zero Trust-metodiken borde anges uttryckligen.
Klicka pÄ Unused.
För att visa hur detta fungerar har jag lagt till nÄgra regler och de har hittills inte slÀppt igenom nÄgot paket idag. HÀr Àr deras lista:
Kanske kommer det trafik över tid och dĂ„ försvinner de frĂ„n den hĂ€r listan. Om de finns pĂ„ den hĂ€r listan i 90 dagar â kan du besluta att ta bort dessa regler. För varje regel ger en möjlighet för en hacker.
Det finns ett verkligt problem vid konfiguration av brandvĂ€ggar: en ny anstĂ€lld tittar pĂ„ brandvĂ€ggsreglerna, och om det inte finns nĂ„gra kommentarer och han inte vet varför regeln skapades, om den verkligen behövs, eller om den kan tas bort: tĂ€nk om personen Ă€r pĂ„ semester och om 30 dagar kommer trafiken att gĂ„ igen frĂ„n den tjĂ€nst han behöver. Denna funktion hjĂ€lper honom att fatta beslut â ingen anvĂ€nder den â ta bort!
LÄt oss klicka pÄ Unused App.
Vi klickar pÄ Unused App i optimeraren och ser att intressant information öppnas i huvudfönstret.
Vi ser att det finns tre regler dÀr antalet tillÄtna appar och antalet appar som faktiskt passerade enligt denna regel skiljer sig.
Vi kan klicka och se listan över dessa appar och jÀmföra dessa listor.
Till exempel, lÄt oss klicka pÄ knappen Compare för regeln Max.
HÀr kan man se att appar som facebook, instagram, telegram, vkontakte har tillÄtits. Men verkligen har trafiken bara gÄtt genom en del av underapplikationerna. HÀr behöver man förstÄ att facebook-appen innehÄller flera underapplikationer.
Den kompletta listan över appar NGFW kan ses pÄ portalen och i sjÀlva brandvÀggens grÀnssnitt under avsnittet Objects->Applications och sök efter appens namn: facebook, sÄ kommer du att fÄ detta resultat:
SÄ, vissa av dessa underapplikationer sÄg NGFW, men vissa gjorde det inte. I sjÀlva verket kan du sÀrskilt förbjuda och tillÄta olika underfunktioner av facebook. Till exempel tillÄta att se meddelanden, men förbjuda chatt eller filöverföring. DÀrmed informerar Policy Optimizer om detta och du kan fatta beslut: tillÄt inte alla facebook-appar, utan bara de huvudsakliga.
SÄ, vi har förstÄtt att listorna Àr olika. Du kan göra sÄ att reglerna tillÄter exakt de appar som faktiskt passerade genom nÀtverket. För detta klickar du pÄ knappen MatchUsage. SÄ hÀr ser det ut:
Och du kan Ă€ven lĂ€gga till appar som du anser behövs â knappen Add till vĂ€nster i fönstret:
Och sedan kan denna regel tillÀmpas och testas. Grattis!
Klicka pÄ No Apps Specified.
I detta fall öppnas ett viktigt fönster för att sÀkerstÀlla sÀkerheten.
SĂ„dana regler, dĂ€r nivĂ„ L7-applikationen inte anges tydligt, finns det förmodligen mĂ„nga i ditt nĂ€tverk. Jag har ocksĂ„ en sĂ„dan regel i mitt nĂ€tverk â jag pĂ„minner om att jag skapade den under den första konfigurationen, just för att visa hur Policy Optimizer fungerar.
Bilden visar att regeln AllowAll har slÀppt igenom 220 gigabyte trafik under perioden 9 mars till 17 mars, med totalt 150 olika applikationer i mitt nÀtverk. Och det Àr fortfarande lite. Vanligtvis finns det 200-300 olika applikationer i ett medelstort företag.
SÄ, en regel slÀpper igenom hela 150 applikationer. Detta innebÀr vanligtvis att brandvÀggen Àr felaktigt konfigurerad, eftersom det vanligtvis i en regel slÀpps igenom 1-10 applikationer för olika syften. LÄt oss titta pÄ vilka dessa applikationer Àr: klicka pÄ knappen JÀmför:
Det mest fantastiska för administratören i Policy Optimizer-funktionen Ă€r knappen Match Usage â med ett enda klick kan du skapa en regel dĂ€r du anger alla 150 applikationer. Det skulle ta vĂ€ldigt lĂ„ng tid att göra det manuellt. Antalet uppgifter för en administratör, Ă€ven i mitt nĂ€tverk med 10 enheter, Ă€r enormt.
Jag har 150 olika applikationer som överför gigabyte trafik hemma! Hur mÄnga har ni?
Och hur ser det ut i ett nÀtverk med 100 enheter eller 1000 eller 10000? Jag har sett brandvÀggar med 8000 regler och jag Àr mycket glad över att administratörerna nu har sÄdana praktiska automatiseringsverktyg.
En del applikationer som jag sÄg och som visades av L7-applikationsanalysmodulen i NGFW kommer inte att behövas i ert nÀtverk, sÄ ni kommer helt enkelt ta bort dem frÄn den tillÄtande regeln, eller sÄ gör ni en kloning av regler med knappen Klona (i huvudgrÀnssnittet) dÀr ni i en regel tillÄter applikationer, medan ni i en annan blockerar applikationer som verkligen inte behövs i ert nÀtverk. SÄdana applikationer blir ofta bittorent, steam, ultrasurf, tor, dolda tunnlar som tcp-over-dns och andra.
Och vi klickar pĂ„ en annan regel â vad kan vi se dĂ€r:
Ja, hÀr ser vi applikationer som Àr typiska för multicast. Vi mÄste tillÄta dem för att videoöverföring över nÀtverket ska fungera. Klicka pÄ Match Usage. UtmÀrkt! Tack Policy Optimizer.
Men vad sÀgs om MaskininlÀrning.
Det Ă€r trendigt att prata om automatisering. Det jag beskrev ovan â Ă€r mycket hjĂ€lpsamt. Det finns en annan möjlighet som jag mĂ„ste berĂ€tta om. Det Ă€r Machine Learning-funktionen, inbyggd i verktyget Expedition, som nĂ€mndes tidigare. I detta verktyg finns det en möjlighet att överföra regler frĂ„n din gamla brandvĂ€gg frĂ„n en annan tillverkare. Det finns ocksĂ„ möjlighet att analysera de existerande trafikloggarna frĂ„n Palo Alto Networks och föreslĂ„ vilka regler som bör skrivas. Detta liknar funktionaliteten i Policy Optimizer, men i Expedition Ă€r det Ă€nnu mer utvidgat och en lista med fĂ€rdiga regler erbjuds â du behöver bara godkĂ€nna dem.
För att testa denna funktionalitet finns det ett laboratorium â vi kallar det testkörning. Detta test kan göras genom att gĂ„ in pĂ„ de virtuella brandvĂ€ggarna som anstĂ€llda pĂ„ Palo Alto Networks-kontoret i Moskva startar pĂ„ begĂ€ran.
BegÀran kan skickas till adressen Russia@paloaltonetworks.com och i begÀran skriva: "Jag vill göra UTD angÄende migrationsprocessen".
Faktum Àr att det finns flera alternativ för laboratoriearbetet kallat Unified Test Drive (UTD) och alla efter begÀran.
Endast registrerade anvÀndare kan delta i omröstningen. , tack.
Vill du ha hjÀlp med att optimera reglerna för din brandvÀgg?
Ja
Ingen
Jag klarar mig sjÀlv
Ingen har röstat Àn. Inga avstÄenden.
KĂ€lla: habr.com
