NGFW ट्यूनिंग दक्षता का मूल्यांकन कैसे करें

सबसे आम कार्य यह जांचना है कि आपका फ़ायरवॉल कितनी कुशलता से कॉन्फ़िगर किया गया है। ऐसा करने के लिए, एनजीएफडब्ल्यू के साथ सौदा करने वाली कंपनियों से मुफ्त उपयोगिताओं और सेवाएं हैं।

उदाहरण के लिए, यह नीचे देखा जा सकता है कि पालो ऑल्टो नेटवर्क्स के पास समर्थन पोर्टल से सीधे फायरवॉल आँकड़ों का विश्लेषण शुरू करने का मौका है - एक एसएलआर रिपोर्ट या सर्वोत्तम प्रथाओं के अनुपालन का विश्लेषण - एक बीपीए रिपोर्ट। ये मुफ्त ऑनलाइन उपयोगिताओं हैं जिनका उपयोग आप कुछ भी स्थापित किए बिना कर सकते हैं।

सामग्री

अभियान (प्रवासन उपकरण)
नीति आशावादी
शून्य का भरोसा
अप्रयुक्त पर क्लिक करें
अनयूज्ड एप पर क्लिक करें
निर्दिष्ट कोई एप्लिकेशन नहीं क्लिक करें
मशीन लर्निंग के बारे में क्या
UTD

अभियान (प्रवासन उपकरण)

अपनी सेटिंग्स की जांच करने का एक और अधिक जटिल तरीका मुफ्त एक्सपेडिशन यूटिलिटी (पूर्व में माइग्रेशन टूल) डाउनलोड करना है। इसे VMware के तहत एक वर्चुअल उपकरण के रूप में डाउनलोड किया जाता है, इसके साथ कोई सेटिंग्स की आवश्यकता नहीं होती है - आपको छवि डाउनलोड करने और इसे VMware हाइपरविजर के तहत तैनात करने, शुरू करने और वेब इंटरफ़ेस पर जाने की आवश्यकता है। इस उपयोगिता के लिए एक अलग कहानी की आवश्यकता होती है, केवल इस पर एक कोर्स में 5 दिन लगते हैं, अब वहां बहुत सारे कार्य हैं, जिनमें मशीन लर्निंग और विभिन्न फ़ायरवॉल निर्माताओं के लिए नीतियों, NAT और वस्तुओं के विभिन्न विन्यासों का प्रवास शामिल है। मशीन लर्निंग के बारे में, मैं पाठ में और नीचे लिखूंगा।

नीति आशावादी

और सबसे सुविधाजनक विकल्प (IMHO), जिसके बारे में मैं आज और अधिक विस्तार से बात करता हूं, पालो ऑल्टो नेटवर्क्स इंटरफेस में ही बनाया गया पॉलिसी ऑप्टिमाइज़र है। इसे प्रदर्शित करने के लिए, मैंने घर पर एक फ़ायरवॉल स्थापित किया और एक सरल नियम लिखा: किसी को भी अनुमति दें। सिद्धांत रूप में, ऐसे नियम कभी-कभी कॉर्पोरेट नेटवर्क पर भी देखे जाते हैं। स्वाभाविक रूप से, मैंने सभी NGFW सुरक्षा प्रोफाइल को चालू किया, जैसा कि स्क्रीनशॉट में देखा गया है:



नीचे दिया गया स्क्रीनशॉट मेरे घर के अपुष्ट फ़ायरवॉल का एक उदाहरण दिखाता है, जहाँ लगभग सभी कनेक्शन अंतिम नियम में आते हैं: AllowAll, जिसे हिट काउंट कॉलम के आँकड़ों से देखा जा सकता है।

शून्य का भरोसा

एक सुरक्षा दृष्टिकोण है जिसे जीरो ट्रस्ट कहा जाता है। इसका क्या मतलब है: हमें नेटवर्क के भीतर लोगों को उन कनेक्शनों की बिल्कुल अनुमति देनी चाहिए जिनकी उन्हें आवश्यकता है और बाकी सभी चीजों पर प्रतिबंध है। यही है, हमें अनुप्रयोगों, उपयोगकर्ताओं, URL श्रेणियों, फ़ाइल प्रकारों के लिए स्पष्ट नियम जोड़ने की आवश्यकता है; सभी IPS और एंटीवायरस हस्ताक्षर सक्षम करें, सैंडबॉक्सिंग, DNS सुरक्षा को सक्षम करें, उपलब्ध थ्रेट इंटेलिजेंस डेटाबेस से IoC का उपयोग करें। सामान्य तौर पर, फ़ायरवॉल स्थापित करते समय कार्यों की एक सभ्य राशि।

वैसे, पालो अल्टो नेटवर्क एनजीएफडब्ल्यू के लिए आवश्यक सेटिंग्स का न्यूनतम सेट एसएनएस दस्तावेजों में से एक में वर्णित है: पालो अल्टो नेटवर्क सुरक्षा कॉन्फ़िगरेशन बेंचमार्क - मैं इसके साथ शुरू करने की सलाह देता हूं। और हां, एक निर्माण कंपनी के साथ फ़ायरवॉल स्थापित करने के लिए सर्वोत्तम प्रथाओं का एक सेट है: सर्वश्रेष्ठ अभ्यास ।

इसलिए, मेरे पास एक सप्ताह के लिए घर पर एक फ़ायरवॉल था। आइए देखें कि मेरे नेटवर्क पर ट्रैफ़िक क्या है:



यदि आप सत्रों की संख्या के आधार पर छाँटते हैं, तो उनमें से अधिकांश बिटकॉइन द्वारा बनाए जाते हैं, फिर एसएसएल, फिर क्विक आता है। साथ में, ये आने वाले और बाहर जाने वाले दोनों ट्रैफ़िक के आँकड़े हैं: मेरे राउटर के बहुत सारे बाहरी स्कैन हैं। मेरे नेटवर्क पर 150 अलग-अलग एप्लिकेशन हैं।

तो, यह सब एक नियम से छोड़ दिया गया था। अब देखते हैं कि इस बारे में नीति अनुकूलक क्या कहता है। यदि आपने ऊपर दिए गए सुरक्षा नियमों के साथ इंटरफ़ेस के स्क्रीनशॉट को देखा, तो नीचे बाईं ओर आपने एक छोटी सी खिड़की देखी जो मुझे संकेत देती है कि ऐसे नियम हैं जो अनुकूलित किए जा सकते हैं। वहां क्लिक करते हैं।

नीति अनुकूलक क्या दिखाता है:

• 30 दिनों, 90 दिनों में क्या नीतियों का उपयोग नहीं किया गया था। यह उन्हें पूरी तरह से हटाने का फैसला करने में मदद करता है।
• नीतियों में किन अनुप्रयोगों को निर्दिष्ट किया गया था, लेकिन ट्रैफ़िक में ऐसा कोई अनुप्रयोग नहीं मिला। यह आपको अनुमति नियमों में अनावश्यक अनुप्रयोगों को हटाने की अनुमति देता है।
• क्या नीतियों ने सबकुछ की अनुमति दी, लेकिन वास्तव में ऐसे अनुप्रयोग थे जो शून्य ट्रस्ट पद्धति के अनुसार स्पष्ट रूप से निर्दिष्ट करना अच्छा होगा।

अप्रयुक्त पर क्लिक करें

यह दिखाने के लिए कि यह कैसे काम करता है, मैंने कुछ नियम जोड़े, और अब तक उन्होंने आज तक एक भी पैकेज नहीं छोड़ा है। यहाँ उनकी एक सूची है:



शायद, समय के साथ, ट्रैफ़िक वहां से गुजर जाएगा और फिर वे इस सूची से गायब हो जाएंगे। और अगर वे 90 दिनों के लिए इस सूची में हैं, तो आप इन नियमों को हटाने का फैसला कर सकते हैं। आखिरकार, प्रत्येक नियम एक हैकर के लिए एक अवसर प्रदान करता है।

फ़ायरवॉल को कॉन्फ़िगर करते समय एक वास्तविक समस्या है: एक नया कर्मचारी आता है, फ़ायरवॉल नियमों को देखता है, अगर उनके पास कोई टिप्पणी नहीं है और वह नहीं जानते कि यह नियम क्यों बनाया गया है, क्या इसे वास्तविक बनाने की आवश्यकता है, क्या इसे हटाया जा सकता है: अचानक एक व्यक्ति छुट्टी पर और उसके माध्यम से होता है 30 दिन, ट्रैफ़िक फिर से उस सेवा से जाएगा जिसकी उसे ज़रूरत है। और बस यह फ़ंक्शन उसे निर्णय लेने में मदद करता है - कोई भी इसका उपयोग नहीं करता है - हटाएं!

अनयूज्ड एप पर क्लिक करें

हम ऑप्टिमाइज़र में अप्रयुक्त ऐप पर क्लिक करते हैं और देखते हैं कि मुख्य विंडो में दिलचस्प जानकारी खुलती है।

हम देखते हैं कि तीन नियम हैं जहां अनुमत अनुप्रयोगों की संख्या और इस नियम के तहत पारित होने वाले आवेदनों की संख्या अलग-अलग हैं।



हम इन एप्लिकेशन की सूची को क्लिक करके देख सकते हैं और इन सूचियों की तुलना कर सकते हैं।

उदाहरण के लिए, मैक्स नियम के लिए तुलना बटन पर क्लिक करें।



यहां आप देख सकते हैं कि फेसबुक, इंस्टाग्राम, टेलीग्राम, vkontakte अनुप्रयोगों की अनुमति थी। लेकिन वास्तव में, यातायात केवल अनुप्रयोगों के संदर्भ में चला गया। यहां आपको यह समझने की आवश्यकता है कि फेसबुक एप्लिकेशन में कई उप-अनुप्रयोग हैं।

NGFW अनुप्रयोगों की पूरी सूची applipedia.paloaltonetworks.com और ऑब्जेक्ट्स में फ़ायरवॉल इंटरफ़ेस में देखी जा सकती है- > एप्लीकेशन सेक्शन और खोज प्रकार में एप्लिकेशन का नाम: facebook, आपको निम्न परिणाम मिलता है:



तो, इन उप-अनुप्रयोगों में से कुछ NGFW ने देखा, और कुछ ने नहीं। वास्तव में, आप अलग-अलग फेसबुक उप-कार्यों को अलग से प्रतिबंधित और अनुमति दे सकते हैं। उदाहरण के लिए, संदेश देखने की अनुमति दें, लेकिन चैट या फ़ाइल स्थानांतरण पर प्रतिबंध लगाएं। तदनुसार, पॉलिसी ऑप्टिमाइज़र इस बारे में बात करता है और आप एक निर्णय ले सकते हैं: सभी फेसबुक अनुप्रयोगों की अनुमति नहीं है, लेकिन केवल मुख्य हैं।

इसलिए, हमने महसूस किया कि सूचियाँ अलग हैं। आप नियमों को उन अनुप्रयोगों को अनुमति दे सकते हैं जो वास्तव में नेटवर्क पर गए थे। ऐसा करने के लिए, आप माचिस के बटन पर क्लिक करें। यह इस तरह से निकला:



और आप उन अनुप्रयोगों को भी जोड़ सकते हैं जिन्हें आप आवश्यक मानते हैं - विंडो के बाएं भाग में बटन जोड़ें:



और फिर इस नियम को लागू और परीक्षण किया जा सकता है। बधाई!

निर्दिष्ट कोई एप्लिकेशन नहीं क्लिक करें

इस मामले में, एक महत्वपूर्ण सुरक्षा विंडो खुल जाएगी।



ऐसे नियम, जहां एल 7 स्तर का एक आवेदन स्पष्ट रूप से निर्दिष्ट नहीं है, सबसे अधिक संभावना है कि आपके नेटवर्क का एक बहुत कुछ है। और मेरे नेटवर्क में ऐसा नियम है - मुझे आपको याद दिलाना है कि मैंने इसे शुरुआती सेटअप के दौरान बनाया था, खासकर यह दिखाने के लिए कि पॉलिसी ऑप्टिमाइज़र कैसे काम करता है।

तस्वीर से पता चलता है कि AllowAll नियम ने 9 मार्च से 17 मार्च की अवधि में 220 गीगाबाइट ट्रैफ़िक को याद किया, जो मेरे नेटवर्क में 150 विभिन्न एप्लिकेशन हैं। और यह पर्याप्त नहीं है। आमतौर पर औसत आकार के कॉरपोरेट नेटवर्क में 200-300 विभिन्न अनुप्रयोग होते हैं।

इसलिए, एक नियम 150 अनुप्रयोगों के रूप में छोड़ देता है। एक नियम के रूप में, इसका मतलब है कि फ़ायरवॉल को गलत तरीके से कॉन्फ़िगर किया गया है, क्योंकि आमतौर पर एक नियम में 1-10 अनुप्रयोगों को विभिन्न उद्देश्यों के लिए छोड़ दिया जाता है। आइए देखें कि वे किस प्रकार के अनुप्रयोग हैं: बटन पर क्लिक करें

की तुलना करें:



पॉलिसी ऑप्टिमाइज़र फ़ंक्शन में व्यवस्थापक के लिए सबसे आश्चर्यजनक बात मैच उपयोग बटन है - आप एक क्लिक के साथ एक नियम बना सकते हैं, जहां आप सभी 150 अनुप्रयोगों को नियम में दर्ज करते हैं। मैन्युअल रूप से, ऐसा करना काफी लंबा होगा। 10 उपकरणों के मेरे नेटवर्क पर भी प्रशासक के काम करने की संख्या बहुत बड़ी है।

मेरे पास 150 विभिन्न एप्लिकेशन हैं जो घर पर यातायात के गीगाबाइट्स को प्रसारित करते हैं! आपके पास कितने हैं?

लेकिन 100 डिवाइस या 1000 या 10000 के नेटवर्क में क्या चल रहा है? मैंने फायरवॉल देखा जहां 8000 नियम हैं और मुझे बहुत खुशी है कि अब प्रशासकों के पास ऐसे सुविधाजनक स्वचालन उपकरण हैं।

आपको एनजीएफडब्ल्यू में एल 7 एप्लिकेशन विश्लेषण मॉड्यूल को देखने और नेटवर्क पर दिखाए जाने वाले अनुप्रयोगों में से कुछ की आवश्यकता नहीं होगी, इसलिए आप उन्हें नियमों की अनुमति देने की सूची से हटा दें, या क्लोन बटन (मुख्य इंटरफ़ेस में) के साथ नियमों के क्लोनिंग करें और आवेदन के एक नियम में सक्षम करें, और किसी अन्य एप्लिकेशन को ब्लॉक करें, जैसे कि निश्चित रूप से आपके नेटवर्क पर इसकी आवश्यकता नहीं है। इस तरह के अनुप्रयोगों में अक्सर बिटकॉइन, स्टीम, अल्ट्रासाउंड, टोर, छिपी सुरंग जैसे टीसीपी-ओवर-डीएनएस और अन्य शामिल होते हैं।



खैर, एक और नियम पर क्लिक करें - वहां जो दिखाई दे रहा है:



हां, यहां मल्टीकास्ट के लिए विशिष्ट एप्लिकेशन हैं। हमें उन्हें नेटवर्क पर वीडियो देखने का काम करने देना चाहिए। मैच उपयोग पर क्लिक करें। बहुत बढ़िया! धन्यवाद नीति अनुकूलक।

मशीन लर्निंग के बारे में क्या

अब स्वचालन के बारे में बात करना फैशनेबल है। मैंने जो बताया वह बहुत मदद करता है। एक और अवसर है जिसके बारे में मुझे बात करनी चाहिए। यह मशीन लर्निंग कार्यक्षमता है जिसे एक्सपेडिशन यूटिलिटी में बनाया गया है जो ऊपर उल्लेखित था। इस उपयोगिता में, किसी अन्य निर्माता के अपने पुराने फ़ायरवॉल से नियमों को स्थानांतरित करना संभव है। मौजूदा पालो अल्टो नेटवर्क ट्रैफ़िक लॉग का विश्लेषण करना और सुझाव देना कि कौन से नियम लिखना संभव है। यह पॉलिसी ऑप्टिमाइज़र की कार्यक्षमता के समान है, लेकिन एक्सपेडिशन में यह और भी अधिक विस्तारित है और आपको तैयार नियमों की एक सूची पेश की जाती है - आपको बस उन्हें अनुमोदित करने की आवश्यकता है।

इस कार्यक्षमता का परीक्षण करने के लिए, प्रयोगशाला का काम है - हम इसे टेस्ट ड्राइव कहते हैं। यह परीक्षण वर्चुअल फायरवॉल पर जाकर किया जा सकता है, जो आपके अनुरोध पर पालो ऑल्टो नेटवर्क मास्को कार्यालय के कर्मचारियों को लॉन्च करेगा।



अनुरोध Russia@paloaltonetworks.com पर भेजा जा सकता है और अनुरोध में लिख सकते हैं: "मैं माइग्रेशन प्रक्रिया द्वारा UTD बनाना चाहता हूं"।

वास्तव में, यूनिफाइड टेस्ट ड्राइव (UTD) नामक प्रयोगशालाओं में कई विकल्प होते हैं और वे सभी अनुरोध पर दूरस्थ रूप से उपलब्ध हैं।