USG FLEX/ATP/VPN'de Güvenlik Politikaları - Faydalı püf noktaları ve ipuçları

Bu makalede genel güvenlik ilkelerinin/güvenlik duvarı kurallarının nasıl oluşturulacağını açıkladığımızdan, bu makaleyi, sizi ve müşterilerinizi korumak için mükemmel güvenlik duvarı stratejisini oluşturmaya ilişkin bazı yararlı bilgiler, ipuçları ve püf noktaları sağlamak için burada kullanmak istiyoruz!

1. Yukarıdan Aşağıya!

Güvenlik ağ geçidi portföyümüzdeki güvenlik politikaları veya genel olarak politikalar, ilk kuralın uygulandığı, ikinci kuralın takip edildiği vb. anlamına gelen döngüsel bir şekilde çalışır.

Bu, politika tablosunu gördüğünüzde güvenlik politikaları hakkında kolay ve mantıklı bir içgörü sağlar.

En altta, varsayılan olarak temelde her şeyi reddeden varsayılan bir kural görebilirsiniz. Bu, bu varsayılan kuralın üzerinde bir istisna tanımlanmadıkça, tüm trafiğin engellendiği anlamına gelir. Varsayılan olarak, dahili ağlardan sorunsuz iletişim sağlamak için önceden yapılandırılmış çok sayıda kuralımız var, ancak yine de iyi bir koruma seti sunuyor.

2. Tablo sıralama ve Filtreleme

Ayarladığınız çok sayıda Politika kuralından bunaldınız ve çok özel bir kural mı arıyorsunuz? Endişelenmeyin, filtre kategorileri sayesinde aradığınız kuralı kolayca bulabilirsiniz (veya kuralın eksik olduğunu öğrenebilirsiniz) bir bakışta. Bunun için, politika kontrol menüsünün en üstündeki "Filtreyi Göster"e basın - bu, filtre menüsünü daraltacaktır:

Filtre menüsünde artık yukarıda tanımladığınız parametrelerle eşleşen kuralları arayabilirsiniz. Yukarıdaki örnekte, Port 443'te cihazımıza (ZyWall) WAN erişimini tanımlayan herhangi bir kuralımız olup olmadığını öğrenmek istiyoruz. bu parametreleri takip edin. Daha derine baktığımızda, WAN'dan 443'e gerçekten izin verdiğimizi görebiliriz - şimdi bunun istenip istenmediğine veya çözmek istediğimiz bir güvenlik sorunu olarak kabul edilip edilmediğine karar vermek bize kalmış. Ancak bu örnek, hızlı filtrelemenin gücünü göstermektedir.

3. Hayatınızı kolaylaştırın, Zone'ları kullanın!

Normalde, erişim kontrol listeleri veya güvenlik duvarı kuralları veya bizim durumumuzda güvenlik politikaları, bağlantı noktaları vb. gibi diğer faktörlerle birlikte IP kaynağı ve hedef adresleri aracılığıyla tanımlanır.

Ancak, dağınık alt ağlara sahip beş ağınız olduğunu ve bunların hepsinin birbirine erişimine izin vermek istediğinizi hayal edin. Genel, katı bir güvenlik duvarı kurulumuyla, ilk ağ için 5, sonraki alt ağ için 4, üçüncü alt ağ için 3, dördüncü alt ağ için 2 ve beşinci alt ağ için her birini kapsayacak başka bir kural oluşturmanız gerekir. olası kurulum. Bu size oluşturmanız için 15 güvenlik duvarı kuralı bırakacaktır! Başka bir alt ağ eklemek bile daha büyük sorun anlamına gelir... pek uygulanabilir değil, değil mi?
Güvenlik duvarı cihazlarımızla sorun değil! Güvenlik duvarımızın Bölgeleri vardır - bunlar, arayüz ekleyebileceğiniz nesne referanslarıdır. Örneğin yeni oluşturulmuş VLAN10 ve VLAN20'yi kendi bölgelerine ekleyerek, her iki ağa da aynı güvenlik duvarı kurallarını uygulayabilirsiniz.

Bu, yeni bir bölge oluşturularak ve bölge içinde olmak istediğiniz ağlar üzerinden sürüklenerek yapılabilir.

Configuration > Object > Zone

Bundan sonra, Bölgeyi güvenlik duvarı kurallarına atayabilirsiniz:

Yani bu örnekte, iki basit kuralla her iki VLAN'ın da kendilerine, diğer VLAN'a, başka herhangi bir LAN'a, cihazın kendisine, internete izin vermesine izin veriyoruz. Uygun, değil mi?

4. Güvenliğin Gücü - UTM özellikleri ekleme

Güvenlik duvarı cihazlarımızın gerçek büyüsü, normal güvenlik duvarı kurulumunda değil, UTM profillerinde yatmaktadır. Ancak birçok UTM özelliği de nesne yönelimli bir programlama akışını takip eder, bu nedenle adres, hizmet ve Bölge nesneleri gibi, temelde tek bir yerde oluşturulurlar ve bir güvenlik duvarı kuralına gömülmeyi beklerler:

Bu konuyla ilgili daha fazla bilgi, (diğerlerinin yanı sıra) bu hizmetlere yönelik olarak açıkça uyarlanmış bilgi bankası makalelerinde bulunabilir:

USG'de temel bir İçerik Filtresi Profili Oluşturma
App Patrol Profiller - Temel Kurulum

SORUMLULUK REDDİ:

Değerli müşterimiz, yerel dilinizde makaleler sağlamak için makine çevirisi kullandığımızı lütfen unutmayın. Tüm metinler doğru bir şekilde çevrilemeyebilir. Tercüme edilmiş versiyondaki bilgilerin doğruluğu hakkında sorularınız veya tutarsızlıklar varsa, lütfen orijinal makaleyi buradan inceleyin: Orijinal Versiyon