Presentation Name / Author

Transkripcija

1

2 Kako brez stresa zamenjati požarno pregrado How to Replace the Firewall Without Stress Sašo Tomc - SRC d.o.o. (21. januar 2019)

3 1) Analiza obstoječe konfiguracije 2) Določanje nivoja tveganja za izpad omrežja 3) Konfiguracija nove opreme 4) Test delovanja pred preklopom 5) Preklop omrežja na novo požarno pregrado 6) Test delovanja po preklopu 7) Odprava morebitnih težav 8) Vklop varnostnih parametrov 9) Sistematski pristop testiranja delovanja varnostnih parametrov 10) Nastavitev obveščanja Sprostitev migracija uspešna!

4 Migracija > Palo Alto Networks Požarne pregrade > Expedition > Palo Alto Firewall (NGFW) Check Point, Cisco, Fortinet, IBM XGS, Juniper, Forcepoint, uvoz podatkov iz CSV datoteke & Ročno konfiguriranje

5 Migracija > Expedition Tool

6 Migracija > Expedition Tool

7 1) Analiza obstoječe konfiguracije 2) Določanje nivoja tveganja za izpad omrežja 3) Konfiguracija nove opreme 4) Test delovanja pred preklopom 5) Preklop omrežja na novo požarno pregrado 6) Test delovanja po preklopu 7) Odprava morebitnih težav 8) Vklop varnostnih parametrov 9) Sistematski pristop testiranja delovanja varnostnih parametrov 10) Nastavitev obveščanja

8 Analiza obstoječe konfiguracije Optimizacija obstoječe konfiguracije > brisanje nepotrebnih elementov združitev enakovrednih objektov Poimenovanje vmesnikov, con, objektov > pozor na dolžino imen (63 maks.) pozor na posebne znake (!? < > ) Posebna pozornost na dele konfiguracij > VPN, NAT, Dynamic & Policy-routing

9 1) Analiza obstoječe konfiguracije 2) Določanje nivoja tveganja za izpad omrežja 3) Konfiguracija nove opreme 4) Test delovanja pred preklopom 5) Preklop omrežja na novo požarno pregrado 6) Test delovanja po preklopu 7) Odprava morebitnih težav 8) Vklop varnostnih parametrov 9) Sistematski pristop testiranja delovanja varnostnih parametrov 10) Nastavitev obveščanja

10 Določanje nivoja tveganja za izpad omrežja Tveganje (ne)delovanja po OSI Layer 2 > ARP tabela, 802.1Q podvmesniki Tveganje (ne)delovanja po OSI Layer 3 > Dynamic/Static & Policy Routing Tveganje zaradi napak - človeški faktor > Napake v konfiguraciji Visoki nivoji NGFW zaščite ob preklopu požarne pregrade

11 1) Analiza obstoječe konfiguracije 2) Določanje nivoja tveganja za izpad omrežja 3) Konfiguracija nove opreme 4) Test delovanja pred preklopom 5) Preklop omrežja na novo požarno pregrado 6) Test delovanja po preklopu 7) Odprava morebitnih težav 8) Vklop varnostnih parametrov 9) Sistematski pristop testiranja delovanja varnostnih parametrov 10) Nastavitev obveščanja

12 Konfiguracija nove opreme Kopija dizajna (One-to-One Design) > Popolna kopija konfiguracije PA sporoča duplicate objekte Sprememba dizajna (Delta Design) > PA podpira Virtual-Routers PA podpira Virtual-Systems PA podpira Zones, Tags, PBF, Security-Profile Groups PA podpira centralizirani Panorama Management PA = Palo Alto

13 Konfiguracija nove opreme - VR Virtual-Routers >

14 Konfiguracija nove opreme - VR Virtual-Routers >

15 Konfiguracija nove opreme - V-sys Virtual-Systems >

16 Konfiguracija nove opreme - V-sys Virtual-Systems >

17 Konfiguracija nove opreme Druga pomembna orodja > U-Turn NAT (Hair-Pinning)

18 Konfiguracija nove opreme Druga pomembna orodja > U-Turn NAT (Hair-Pinning)

19 Konfiguracija nove opreme Druga pomembna orodja > U-Turn NAT (Hair-Pinning) Tail Command (CLI)

20 Konfiguracija nove opreme Druga pomembna orodja > U-Turn NAT (Hair-Pinning) Tail Command (CLI) Dashboard

21 Konfiguracija nove opreme Druga pomembna orodja > U-Turn NAT (Hair-Pinning) Tail Command (CLI) Dashboard & ACC (Application Command Center)

22 Konfiguracija nove opreme Druga pomembna orodja > U-Turn NAT (Hair-Pinning) Tail Command (CLI) Dashboard & ACC (Application Command Center)

23 Konfiguracija nove opreme Druga pomembna orodja > U-Turn NAT (Hair-Pinning) Tail Command (CLI) Dashboard & ACC (Application Command Center)

24 Konfiguracija nove opreme Druga pomembna orodja > U-Turn NAT (Hair-Pinning) Tail Command (CLI) Dashboard & ACC (Application Command Center) IPSec Tunnels Dashboard

25 Konfiguracija nove opreme Druga pomembna orodja > U-Turn NAT (Hair-Pinning) Tail Command (CLI) Dashboard & ACC (Application Command Center) IPSec Tunnels Dashboard Objektno konfiguriranje: - zelo uporabno iskanje objektov - geo-lokacijsko filtriranje (Lat/Lon države) - preglednost v konfiguraciji - hitri vklopi/izklopi pravil

26 Konfiguracija nove opreme Druga pomembna orodja > Applipedia > - Dostop v GUI vmesniku - Splet:

27 Konfiguracija nove opreme Druga pomembna orodja > Applipedia > - Dostop v GUI vmesniku - Splet:

28 Konfiguracija nove opreme Druga pomembna orodja > Applipedia > Threat Vault > - Splet:

29 Konfiguracija nove opreme Druga pomembna orodja > Applipedia > Threat Vault > - Splet:

30 Konfiguracija nove opreme Druga pomembna orodja > - U-Turn NAT, Tail, Dashboard, ACC, objekti Applipedia > - Dostop v GUI vmesniku - Splet: Threat Vault > - Splet:

31 1) Analiza obstoječe konfiguracije 2) Določanje nivoja tveganja za izpad omrežja 3) Konfiguracija nove opreme 4) Test delovanja pred preklopom 5) Preklop omrežja na novo požarno pregrado 6) Test delovanja po preklopu 7) Odprava morebitnih težav 8) Vklop varnostnih parametrov 9) Sistematski pristop testiranja delovanja varnostnih parametrov 10) Nastavitev obveščanja

32 Test delovanja pred preklopom Specifikacija vitalnih storitev & povezav v omrežju > OSI Layers referenčni model zgradbe protokolov: 1) Fizična plast (bakrene, optične povezave) 2) Povezovalna plast (vmesniki, pod-vmesniki, agregacija) 3) Omrežna plast (ICMP, NAT, HSRP, VRRP, usmerjanje) 4) Transportna plast (IPSEC, TCP, UDP) 5) Plast seje (NetBIOS, RPC, RTP) 6) Predstavitvena plast (SSL, TLS) 7) Aplikacijska plast (DNS, SMTP, SSH, HTTP/S)

33 Test delovanja pred preklopom Specifikacija vitalnih storitev & povezav v omrežju > OSI Layers referenčni model zgradbe protokolov

34 Test delovanja pred preklopom Specifikacija vitalnih storitev & povezav v omrežju > OSI Layers test: Usmerjevalna tabela (show routing route match) Ping IP-address (omrežne naprave vsi segmenti) Ping ime-strežnika (Internet vse lokalne segmente) IPSEC povezave (test delovanja do 7. OSI nivoja) Telnet (testni URL) App (browser) App ( ) send / receive

35 1) Analiza obstoječe konfiguracije 2) Določanje nivoja tveganja za izpad omrežja 3) Konfiguracija nove opreme 4) Test delovanja pred preklopom 5) Preklop omrežja na novo požarno pregrado 6) Test delovanja po preklopu 7) Odprava morebitnih težav 8) Vklop varnostnih parametrov 9) Sistematski pristop testiranja delovanja varnostnih parametrov 10) Nastavitev obveščanja

36 Preklop omrežja na novo požarno pregrado Glede na nivo tveganja in čas izpada, presodimo > - preklop požarne pregrade, kot celote - preklopi posameznih virtualnih naprav / instanc - vklop novih virtualnih instanc na Palo Alto: Virtual-Routers Virtual-Systems

37 1) Analiza obstoječe konfiguracije 2) Določanje nivoja tveganja za izpad omrežja 3) Konfiguracija nove opreme 4) Test delovanja pred preklopom 5) Preklop omrežja na novo požarno pregrado 6) Test delovanja po preklopu 7) Odprava morebitnih težav 8) Vklop varnostnih parametrov 9) Sistematski pristop testiranja delovanja varnostnih parametrov 10) Nastavitev obveščanja

38 Test delovanja po preklopu Popolnoma enak test, kot smo ga izvedli pred preklopom > OSI Layers test: Usmerjevalna tabela (show routing route match) Ping IP-address (omrežne naprave vsi segmenti) Ping ime-strežnika (Internet vse lokalne segmente) IPSEC povezave (test delovanja do 7. OSI nivoja) Telnet (testni URL) App (browser) App ( ) send / receive

39 1) Analiza obstoječe konfiguracije 2) Določanje nivoja tveganja za izpad omrežja 3) Konfiguracija nove opreme 4) Test delovanja pred preklopom 5) Preklop omrežja na novo požarno pregrado 6) Test delovanja po preklopu 7) Odprava morebitnih težav 8) Vklop varnostnih parametrov 9) Sistematski pristop testiranja delovanja varnostnih parametrov 10) Nastavitev obveščanja

40 Odprava morebitnih težav Prisoten strokovnjak > - izkušnje s selitvijo konfiguracij na Palo Alto napravo Rešitve za pogoste težave > - brisanje ARP tabele - natančno preverjanje usmerjanja ter NAT prevajanja - pravilen prenos certifikata za SSL-VPN Sistematični pristop > - kasnejši vklop najnaprednejših varnostnih mehanizmov

41 1) Analiza obstoječe konfiguracije 2) Določanje nivoja tveganja za izpad omrežja 3) Konfiguracija nove opreme 4) Test delovanja pred preklopom 5) Preklop omrežja na novo požarno pregrado 6) Test delovanja po preklopu 7) Odprava morebitnih težav 8) Vklop varnostnih parametrov 9) Sistematski pristop testiranja delovanja varnostnih parametrov 10) Nastavitev obveščanja

42 Vklop varnostnih parametrov / mehanizmov Zone & DoS Protection, User Identification > Security Profiles > Security Rule >

43 1) Analiza obstoječe konfiguracije 2) Določanje nivoja tveganja za izpad omrežja 3) Konfiguracija nove opreme 4) Test delovanja pred preklopom 5) Preklop omrežja na novo požarno pregrado 6) Test delovanja po preklopu 7) Odprava morebitnih težav 8) Vklop varnostnih parametrov 9) Sistematski pristop testiranja delovanja varnostnih parametrov 10) Nastavitev obveščanja

44 Sistematski pristop testiranja delovanja varnostnih parametrov / mehanizmov

45 Sistematski pristop testiranja delovanja varnostnih parametrov / mehanizmov

46 Sistematski pristop testiranja delovanja varnostnih parametrov / mehanizmov

47 1) Analiza obstoječe konfiguracije 2) Določanje nivoja tveganja za izpad omrežja 3) Konfiguracija nove opreme 4) Test delovanja pred preklopom 5) Preklop omrežja na novo požarno pregrado 6) Test delovanja po preklopu 7) Odprava morebitnih težav 8) Vklop varnostnih parametrov 9) Sistematski pristop testiranja delovanja varnostnih parametrov 10) Nastavitev obveščanja

48 Nastavitev obveščanja Mail SNMP Syslog PDF Reports > - Threat, Application, Traffic, URL Filtering, Trend (Bandwidth, Risk, Threat) - User Activity - SaaS (software-as-a-service) Application Usage

49 Nastavitev obveščanja Mail SNMP Syslog PDF Reports > - Threat, Application, Traffic, URL Filtering, Trend (Bandwidth, Risk, Threat) - User Activity - SaaS Application Usage

50

51 Vprašanja? Questions?

52 Hvala! Thank you!