הפרקטיקה הטובה ביותר לניהול חריגים של חומת האש ו Whitelists

הקדמה: התפקיד הקריטי של חריגים של חומת האש והרשימות הלבנים

חומות האש משמשות בתור קו ההגנה הראשון בכל ארכיטקטורה אבטחת רשת, אבל קבוצות כללים קשיחות יכולות לחסום באופן בלתי נמנע תנועה לגיטימית או לשבור פעולות עסקיות חיוניות. כדי להכות את האיזון הנכון בין אבטחה ופונקציונליות, מנהלי רשתות חייבים לנהל בקפידה חריגים של חומת אש ולבנים. מנגנונים אלה מאפשרים תנועה לגיטימית לעקוף הגבלות ברירת מחדל, אבל הם גם מציגים סיכון אם לא מטופל כראוי.

הבנת חריגים של חומת האש והלבן

לפני צלילה לשיטות הטובות ביותר, זה & #8217; חשוב להגדיר בדיוק מה המשמעות של תנאים אלה וכיצד הם שונים אחד מהשני. AFLT:0firewall יוצא דופןFLT:1 הוא כלל המאפשר תנועה אשר בדרך אחרת חתומה על ידי חומת האש הקבועה #8217; s מכחישים מדיניות ברירת מחדל הם בדרך כלל צרים בקנה מידה, פרוטוקולים, מקור / נחיתות IP, או רשימת דואר אלקטרוני של 2, או LT2, לעתים קרובות, 000, 000, 000, כגון:

שני הכלים הם הכרחיים ברשתות מודרניות.לדוגמה, כתובת IP של עובד מרחוק עשוי להיות נוסף יוצא דופן עבור גישה VPN, בעוד שרת עדכוני תוכנה קריטית יהיה לבן רשימה כדי להבטיח כתמים מועברים ללא הפרעה לגדרית. עם זאת, אותה גמישות שהופכת את הכלים האלה שימושיים גם עושה אותם נפוצים התקפה וקטורים ניידים אחד יכול לאפשר תנועה של קוד זדוני-שליטה, ויוצא דופן מיותר יכול לחשוף שירות יעיל להבנה של האינטרנט הוא למעשה.

Best Practices for Management Firewalls

הגבלות עם מדיניות Strict

כל יוצא מן הכלל צריך להיות מוצדק על ידי דרישה עסקית אמיתית לפני יצירת כלל חדש, לשאול: "האם זה צריך להיות נפגש עם חלופה מאובטחת יותר, כגון VPN או כבל יישומים?", אם יוצא מן הכלל הוא בלתי נמנע, להבטיח כי הוא חל רק על התנועה המינימלית הנדרשת.לדוגמה, במקום לפתוח טווח שלם, לציין את הנמל המדויק ואת הפרוטוקול.

כל פרט ל-Thoroughly

יוצאים מן הכלל הלא-מוגדרים הם אירוע אבטחה המתנה להתרחש.כל כלל חייב להיות מלווה בהצדקה ברורה, שם המבקש, רשות האישור, ותאריך תפוגה (אם רלוונטי) לשמור על מאגר מרכזי ו-#8212; גיליון מבוזר, CMDB, או כלי ניהול חומת אש ייעודי ו-#8212; זה הוא באופן קבוע ביקורתי לא רק בעיות מספק את ה-HS, אלא גם לא מחייב תיקון 2C.

החל תאריך Expiry ו- Automate Reviews

רבים של חומות האש תומכים בתזמון או בתפוגה אוטומטית. השתמש תכונה זו כדי לאכוף מחזור חיים על חריגים זמניים.לדוגמה, כלל המעניק גישה לבדיקת חדירה של קבלן יכול להיות מוגדר כדי לפוג את היום לאחר סיום הבדיקה.עבור חריגים שאין להם תאריך סיום מוגדר מראש, ביקורות תקופתיות ו-#8212; לפחות רבע ו- #8212; כדי לאשר כי הכלל הוא עדיין נדרש אוטומציה יכול להיות מופעלת: 90 ימים של קוד או אפילו לא ניתן להפעיל, אפילו לא ניתן לבצע בדיקות תקופתיות, או אפילו לא ניתן לבצע בדיקות תקופתיות, או לרישום, או לרישום, או לרישום, כולל, לא ניתן להפעיל את זה יכול להיות מתאים, כמו דגל, כולל, כולל, כולל, אם הם יכולים להיות תקף, או ל- 9.

החלפת בקרת שינוי וזרימות עבודה מועדות

יצירת יוצא דופן של חומת אש צריכה להיות תהליך מבוקר, לא קליק מהיר על ידי מנהל אחד.אימוץ הליך ניהול שינוי רשמי הדורש לפחות ביקורת עמיתים אחת ואישור של מנהל אבטחה. השתמש בפלטפורמת ניהול שירות IT (ITSM) כדי לעקוב אחר כל בקשה, לשייך אותו עם תקרית או כרטיס פרויקט, ולקבוע את השינוי בקובץ הביקורת של חומת האש.

עקבו אחרי Usage ברציפות

יוצא דופן לא בשימוש הוא סיכון רדום.עקב אחר פוליציות לראות אילו יוצאים מן הכלל משמשים למעשה.אם כלל לא התאים לתנועה לתקופה משמעותית, לבדוק אם ניתן להסיר אותה.הפך, אם הכלל יוצר נפח גבוה באופן בלתי צפוי של תנועה, זה יכול להיות התעללות או נפגע. integrate את יומני האש שלך עם מערכת SIEM (למשל, Sunk, או במהירות כדי ליצור אזהרות פוטנציאליות)

ניהול יעיל של Whitelists

הקמת סמסטר Strict Inclusion

יש להתייחס לרשימות וייטניות כנכסים בעלי ערך גבוה.רק כוללות ישויות אשר מהימנות במפורש לאחר אימות. עבור רשימות לבנות מבוססות IP, לאמת בעלות על טווח הכתובת באמצעות רשומות WHOIS או BGP. עבור רישומים פנימיים דומיין, לשקול את הסכנה של דומיינים או קבלה; דומיין אחד פגום שהיה בעבר לגיטימי יכול להיות מופקד על ידי תוקף.

המונחים: whitelists

לא כל הגופים האמינו מהווים את אותה רמה של סיכון.יצירת מספר רב של tiers מאפשר לך ליישם רמות שונות של ביקורת והטבות גישה.

• (FLT:0) תשתיות פולחניות: 1.FLT:1 IPs ותחומים הקשורים לשירותי בנקאות חיצונית, מערכות ממשלתיות או פלטפורמות SaaS ליבה.
• (FLT:0) שותפים עסקיים: ⁇ FLT:1 , טווחי IP מארגוני שותפים הדורשים גישה למשאבים פנימיים ספציפיים.
• (הפרויקטים זמניים:0) ,001 IPs המשמשים קבלנים או צוותי פיתוח למשך זמן מוגבל.

על ידי עניבה של גישה, אתה להפחית את רדיוס הפיצוץ אם שכבה אחת נפגעת.הכניסה הלבנה של קבלן לא צריכה להעניק גישה זהה לזו של שותף עסקי קבוע.

עדכון אוטומטי ל-Whitelist

ניהול ידני לבן הוא שגיאה-prone ואינו קנה מידה. השתמש באוטומציה כדי לשלב עם מקורות חיצוניים של אמת.לדוגמה, אם הארגון שלך משתמש Active Directory, synchronise חשבון IPs באופן אוטומטי.עבור סביבות ענן, כלים מונעים API המנצלים את כללי חומת האש כאשר מקרה חדש או מאזן עומס הוא מתן שירותי אוטומציה גם מסייע עם ניתוק: כאשר משתמש או חוזה ספק, רשימת כניסה לבנה צריך להסיר משאבים מבוססי חומת אש.

ביקורת ואימות ל- Whitelist Entries

ביקורת לבנה אינה זהה לסקירה של חריגים של חומת אש משום שרשימות לבנות נוטות לצבור יותר ערכים לאורך זמן.זמנת ביקורת סמינואל המאמת כל כניסה לצרכים העסקיים הנוכחיים.עבור כל כניסה, תשובה: "האם ישות זו עדיין נדרשת?האם היא עדיין מחזיקה את אותה רמת אמון?האם בעלותה השתנתה?", השתמש במאגרי איומים חיצוניים כדי לבדוק IP ותחומים זדוניים נגד רשימות זדוניות, אם כן, האם זה עדיין צריך להסיר את אותה רמת האמון מיד?

שימוש ב- Detect Anomalous Whitelist Usage

רק משום שישות היא לבנהיסט אינה מתכוונת לתנועה שלה תמיד שפירה.תשתית של שותף מהימן עלולה להיות נפגעת, או נתב הבית של העובד עלול להיות נגוע. Log כל התנועה שמתאימה לכללים הלבנים, ולחפש אינדיקטורים של פשרה: נפח יוצא דופן, שעות לא סטנדרטיות, או חיבורים לניירות אבטחה לא צפויות צריך לטפל בתנועה הלבנה כנקודת מבט עיוורת פוטנציאלית; היא דורשת בדיקה נוספת, לא משנה אם לא תבטיח כניסה אוטומטית ל-"חשוד"כשירות אבטחה חדש" אם לא צפוי.

מלכודות נפוצות להימנע

הסתמכות מופרזת על רשימות מבוססות IP

כתובות IP אינן תמיד מזהה אמין.עם מחשוב ענן, BYOD ו- IP הקצאה דינמי, כתובת שהובטחה אתמול עשויה לשמש על ידי תוקף היום.בכל פעם שניתן, משלבת את רשימת ה-IP עם גורמי אימות נוספים, כגון תעודות לקוח, אסימונים VPN או אימות ברמת היישום.

שכח להסיר חוקים ישנים

"Rule sprawl" היא בעיה כרונית בפיירוול שכבר כבר שנים בייצור.מנהלים מוסיפים חריגים לצרכים לטווח קצר ושכחו להסיר אותם.לאורך זמן, אלפי כללים יתומים מצטברים, מה שהופך את זה בלתי אפשרי לבקר את חומת האש ביעילות. ליישם מדיניות כי כל כלל חייב להיות תאריך ביקורת, ולאכיפת הסרת אוטומטי אם הביקורת לא מתרחשת.

Relying Solely על תהליכים ידניים

ברשת בינונית ל-large, Whitelist ידני וניהול יוצא דופן הוא בלתי ניתן להשגה. טעות אנושית מובילה לטייפוס בכתובות IP, פספסה תפוגות, ותיעוד לא עקבי. Invest in a Firewall Management פלטפורמה המספקת ניהול מחזור חיים מרכזי, דיווח תאימות ושינוי אוטומציה.העלות של כלים אלה מוזנחת במהירות על ידי הפחתת התאונות אבטחה וכישלונות ביקורת.

ניכוי הבקשה - Layer Exceptions

התקפות מודרניות רבות מתרחשות בשכבה 7 (שכבת HTTP זדונית) המאפשרות לכל התנועה בנמל (למשל, TCP 80 או 443) יכולות לאפשר באופן בלתי נמנע בקשות HTTP זדוניות. במידת האפשר, להשתמש ב-Walcon-דור הבא או חומת אש יישום אינטרנט (WAF) כדי ליצור חריגים המבוססים על תנאי יישום-שכבת במקום חוקי IP/פורטל.

כלים וטכנולוגיות לניהול סטרימינג

ראשי מדיניות חומת האש המרכזית

מוצרים כגון FireMon, Algoסודיות, ו Tufin מספקים הפניה אחת של זכוכית לניהול כללים על פני סביבות מרובות-vendor Firewall.הם מבצעים בדיקות תאימות אוטומטית, ויזואליזציה של תלות בחוק, ויכולים להציע כללים לאופטימיזציה.פלטפורמות אלה גם לייצר דוחות עבור רואי חשבון, מראה אילו כללים נמצאים בשימוש, אשר יפוגמו, ואשר מפרות מדיניות.

ניהול ותשתית כקוד (IaC)

בארגונים ממוקדי DevOps, לטפל בחוקי חומת האש כקוד.שימוש בכלים כמו Terraform, Ansible, או AWS CloudFormation כדי להגדיר חריגים ורשימות לבנות בגרסאות מבוקרות בגירסה.This מביא את היתרונות של סקירת קוד, בדיקה, וגלגל אבטחה רשת.כאשר שינוי נעשה, התשתית כולה מוחזרת מהמקור, סחף ו undocued ידניים.

אינטגרציה איומים

מערכות של אש ואבטחת מידע ניהול (SIEM) יכולות להשוות את המאכלים המאיימים ביותר מספקים כמו AlienVault OTX, IBM X-Force, או שירותים מסחריים.להשוואה אוטומטית בין ערכים לבנים נגד הזנות הללו במהלך הביקורת.אם IP לבן מופיע באכילה כשרת פיקוד ושליטה ידוע, SIEM יכול לגרום התראה ואפילו להסיר באופן אוטומטי את החקירה הלבנה.

ארגוני אבטחה בענן

אם התשתית שלך פועלת על AWS, Azure, או GCP, ממינוף יכולות הקבוצה של אבטחה מולדת שלהם. השתמש בקבוצות אבטחה עם כללים לפחות-privilege, וסמוך על תגים כדי לקשר באופן אוטומטי משאבים עם הכללים הנכונים.לדוגמה, EC2 למשל, עם התג "Environment: הפקה" עשוי להיות מותר SSH גישה רק מקבוצת אבטחה מסוימת ניהול.

שילוב עם מסגרות אבטחה ותקני Compliance

NIST SP 800-41 והמרכז לביטחון באינטרנט (CIS)

ה-FLT:0 ;NIST פרסום מיוחד 800-41 Rev.earFLT 1 מספק הנחיות מקיפים לניהול מדיניות אש, כולל יצירת כללים, בדיקות, מחזור חיים. בדומה, CIS Benchmarks for Firewallפלטפורמות מציעים המלצות תצורה ספציפיות. Aligning your Extraordinary and whitelist Management תהליכים עם מסגרות אלה לא רק משפרים את האבטחה אלא גם סימולציות ביקורת.

דרישות PCI-DSS

סוחרים שמעבדים נתוני כרטיס אשראי חייבים לדבוק ב- PCI-DSS הנדרש 1, אשר מחייבים תהליך רשמי לאישור ולבדיקה של כל חיבורי הרשת ושינויים בחוקי חומת האש.זה כולל רשימות לבנות. PCI-DSS גם דורש כי דיאגרמת ארכיטקטורת אש של אש אש אש נשמרת הנוכחית, וכי כל השירותים, הפרוטוקולים והנמלים מורשים להיות מתועדים.

ISO 27001 ו- SOC 2

ISO 27001 (Annex A.13.1) ו-SOC 2 (CC6, CC7) דורש מארגונים לשלוט על אבטחת רשת, כולל שינויים בחוקי חומת אש.משום שינוי זרימת עבודה, שמירה על יומני ביקורת, ולנהל ביקורות קבועות ישירות על דרישות בקרה אלה.ניהול נכון של חריגים ורשימות לבנות מראה לאוטורים שיש לך יציבה אבטחה בוגרת.

יישום מעגל סקירה בר קיימא

אחריות וחשבונאות

יצירת סקירה חוזרת של לוח שנה (בעיקר עבור רוב הארגונים, חודשי עבור סביבות אבטחה גבוהה) במיוחד עבור יוצאי דופן של חומת אש ורשימות לבנות.כסימן מהנדס אבטחה ייעודי להוביל את הביקורת, וכרוך צוות התפעול של הרשת. השתמש בסקירה כדי לענות על שלוש שאלות:

• האם כל חוק/כניסה נדרשים?
• האם ההצדקה העסקית השתנתה?
• האם יש איזו חריגות בגליונות התנועה המשויכים?

מסמך את דקות הפגישה של הביקורת, כולל כל החלטה לשמור, לשנות או למחוק כללים.תיעוד זה משמש כראיה עבור רואי חשבון ומסייע למנוע הסתמכות.

אוטומציה של Expiry ו-ניקוי

שילוב ביקורות ידניות עם כלים אוטומטיים כי דגל כללים בשל סקירה. פלטפורמות ניהול חומות אש רבות יכול לשלוח תזכורות דוא"ל לשלוט בעלי כאשר כלל מתקרב לתאריך התפוגה שלו.אם לא התקבלה תגובה בתוך תקופת החסד, להסיר באופן אוטומטי את הכלל.זה לוקח את הנטל על מנהלי מערכת המשפט ומבטיח כי כללים נשכחים אינם נמשכים ללא הגבלת זמן.

ביקורת: Incident Rule Review

לאחר אירוע אבטחה כלשהו, יש לכלול סקירה מיידית של כל החריגים והרשימות הלבנים. התוקף מנצל לעתים קרובות כללים לגיטימיים לנוע באופן מאוחר יותר או להפצת נתונים.שאל: "האם היה יוצא דופן המאפשר לשמירת הרגל הראשונית של התוקף?האם כניסה לבנה מאפשרת תנועה פיקודית ושליטה?", השתמש בלקחים שלמדו כדי להדק את התהליך, אם יש צורך, להפחית את מספר הערכים הלבנים.

מסקנה: בניית תרבות של ניהול חומת אש

ניהול חריגים בוולפיירוול ורשימות לבנות אינה משימה חד פעמית; זוהי משמעת מתמשכת הדורשת תהליך, אוטומציה, וערנות מתמדת. על ידי הגבלת מספר החוקים, המתעדים ביסודיות, החלת העיקרון של לפחות פריבילגיה, ושילוב עם כלי מודיעין ואוטומציה איומים, ארגונים יכולים להפחית באופן דרמטי את הסיכון של בקרת אבטחה נחוצה אלה.

לקריאה נוספת, מומלץ להתייעץ עם ה-FLT:0 (WOWASP Firewall SheetFLT:1 ו- The FLT:2SANS קורא חדר על ניהול חומת אש 3 עבור אסטרטגיות נוספות וניסויים אמיתיים בעולם.