Políticas de seguridad en USG FLEX / ATP / VPN: trucos y consejos útiles

Dado que en este artículo explicamos cómo crear políticas de seguridad genéricas / reglas de firewall, queremos usar este artículo aquí para brindarle información útil y consejos y trucos sobre la configuración de la estrategia de firewall perfecta para mantenerlos protegidos a usted y a sus clientes.

1. ¡De arriba a abajo!

Las políticas de seguridad, o políticas en general en nuestra cartera de puertas de enlace de seguridad, se ejecutan de forma cíclica, lo que significa que se aplica la primera regla, se sigue la segunda, etc.

Esto permite una visión fácil y lógica de las políticas de seguridad una vez que vea la tabla de políticas.

En la parte inferior, puede ver una regla predeterminada, que de forma predeterminada niega básicamente todo. Esto significa que todo el tráfico está bloqueado, a menos que se defina una excepción por encima de esta regla predeterminada. De forma predeterminada, tenemos muchas reglas ya preconfiguradas para garantizar una comunicación fluida desde las redes internas, pero que aún ofrecen un buen conjunto de protección.

2. Clasificación y filtrado de tablas

¿Abrumado por la gran cantidad de reglas de política que configuró y buscando una regla muy específica? No se preocupe, con las categorías de filtro puede encontrar fácilmente la regla que está buscando (o descubrir que falta la regla) de un vistazo. Para esto, presione "Mostrar filtro" en la parte superior del menú de control de políticas; esto colapsará el menú de filtro:

En el menú de filtro, ahora puede buscar reglas que coincidan con los parámetros que ha definido anteriormente. En el ejemplo anterior, queremos averiguar si tenemos alguna regla que defina el acceso WAN a nuestro dispositivo (el ZyWall) en Port 443. Dado que agregamos 443 al Grupo de objetos de servicio "Default_Allow_WAN_to_ZyWall", wen puede ver todas las reglas que siga estos parámetros. Echando un vistazo más profundo, podemos ver que en realidad permitimos 443 desde la WAN; ahora depende de nosotros decidir si esto se desea o no se considera un problema de seguridad, que queremos resolver. Pero este ejemplo muestra el poder del filtrado rápido.

3. ¡Haz tu vida más fácil, usa Zonas!

Normalmente, las listas de control de acceso o reglas de firewall, o en nuestro caso, las políticas de seguridad, se definen a través de las direcciones IP de origen y destino, en combinación con otros factores como puertos, etc.

Pero, imagine que tiene cinco redes con subredes dispersas y desea permitir el acceso entre todas ellas. Con una configuración de firewall rígida y genérica, se quedaría con la creación de 5 reglas para la primera red, 4 restantes para la siguiente subred, 3 para la tercera subred, 2 para la cuarta subred y otra regla para la quinta subred para cubrir cada una de las posible configuración. ¡Eso te dejaría con 15 reglas de firewall para crear! Agregar otra subred significaría incluso un problema mayor ... no es muy factible, ¿verdad?
Con nuestros dispositivos de firewall, ¡no hay problema! Nuestro firewall tiene las llamadas Zonas, que son referencias de objetos en las que puede agregar interfaces. Al agregar, por ejemplo, VLAN10 y VLAN20 recién creadas en su propia zona, puede aplicar las mismas reglas de firewall a ambas redes.

Esto se puede hacer creando una nueva zona y arrastrando las redes en las que desea estar dentro de la zona a través de

Configuration > Object > Zone

Después de eso, puede asignar la Zona a las reglas de firewall:

Entonces, en este ejemplo, permitimos que ambas VLAN se permitan a sí mismas, la otra VLAN, cualquier otra LAN, el dispositivo en sí, Internet mediante dos reglas simples. Conveniente, ¿no es así?

4. El poder de la seguridad: agregar funciones UTM

Sin embargo, la verdadera magia de nuestros dispositivos cortafuegos no reside en la configuración normal del cortafuegos, sino en los perfiles UTM. Sin embargo, muchas de las características de UTM también siguen un flujo de programación orientado a objetos, por lo que, al igual que los objetos de dirección, servicio y zona, se crean básicamente en un solo lugar, esperando ser incrustados en una regla de firewall:

Puede encontrar más información sobre este tema en los artículos de la base de conocimientos diseñados explícitamente para estos servicios, como (entre muchos otros):

Creación de un perfil de filtro de contenido básico en el USG
App Patrol Perfiles - Configuración básica

DESCARGO DE RESPONSABILIDAD:

Estimado cliente, tenga en cuenta que utilizamos la traducción automática para proporcionar artículos en su idioma local. Es posible que no todo el texto se traduzca con precisión. Si hay preguntas o discrepancias sobre la exactitud de la información en la versión traducida, revise el artículo original aquí: Versión original