#palo alto

Rozmowa o tym sprzęcie zaczyna się zwykle od zdania usłyszanego od kogoś innego: że firma potrzebuje pełnej widoczności ruchu. Warto wiedzieć, co się za tym kryje, zanim ktokolwiek podpisze zamówienie.

Czym jest firewall Palo Alto Networks

To klasa urządzeń brzegowych, w których reguły opisują aplikacje, użytkowników i strefy, a nie numery portów. Urządzenie stoi na styku firmy z internetem i rozstrzyga, co przez ten styk przechodzi, przy czym rozstrzyga to na podstawie tego, czym ruch faktycznie jest.

Towarem jest tu ewidencja. Zamiast zapisu, że ktoś z księgowości korzystał z szyfrowanej strony, powstaje zapis mówiący, która osoba wysłała plik do dysku prywatnego i o której godzinie.

Jak działa rozpoznawanie aplikacji

Starszy firewall prowadzi rejestr podobny do dawnego rachunku telefonicznego: data, godzina, wybrany numer, czas trwania. Dopóki każda firma i każda usługa miały własny numer, taki rachunek coś mówił. Dziś prawie wszystko dzwoni pod jeden numer, czyli port używany przez ruch szyfrowany, więc poczta, system księgowy, dysk prywatny pracownika, komunikator i narzędzie atakującego są na tym rachunku nierozróżnialne.

Konkret polega na tym, że urządzenie rozbiera połączenie i nazywa aplikację po imieniu, a politykę pisze się między strefami. Strefa to nazwana grupa sprzętu traktowana jak jedno pomieszczenie: biuro, produkcja, goście, serwery. Zamiast opisywać każdy komputer osobno, opisuje się, którym drzwiom między pomieszczeniami wolno być otwartym, dzięki czemu nowy komputer wstawiony do biura dziedziczy reguły całego biura.

Czym różni się od zapory z regułami na portach

Klasyczna zapora przepuszcza ruch na wskazanym porcie i nie odróżnia w nim pracy w systemie firmowym od przesyłania plików prywatnym komunikatorem. Urządzenie rozpoznające aplikacje rozbiera ten ruch i pozwala zapisać politykę zdaniem zrozumiałym dla człowieka.

Cena tej precyzji jest stała: polityka staje się dokumentem, który trzeba rozumieć, żeby nim zarządzać. Konfiguracja zbudowana z aplikacji, grup użytkowników i stref jest czytelna wtedy, gdy ktoś zna zamysł jej autora, a bez tej wiedzy każda reguła wygląda na potrzebną i nikt nie odważy się jej usunąć.

Gdzie to ma sens

Przewaga tego sprzętu ujawnia się dopiero tam, gdzie ktoś codziennie czyta zapisy, akceptuje zmiany reguł i odpowiada za zgodność przed kimś z zewnątrz. Trzy układy uzasadniają go najczęściej: odbiorca wpisał wymóg do umowy, co zdarza się w motoryzacji, farmacji i energetyce; polityka grupy kapitałowej narzuca standard sprzętu brzegowego; albo ruch faktycznie płynie między kilkoma lokalizacjami przez całą dobę.

Różnica kosztowa ujawnia się w dniu incydentu. Odtworzenie przebiegu zdarzenia z urządzenia, które zapisało same adresy i porty, to godziny zgadywania. Z urządzenia, które zapisało aplikację i użytkownika, to jedno zapytanie w rejestrze.

Na co uważać

Zmiana wchodzi dopiero po zatwierdzeniu całej konfiguracji, a system trzyma osobno wersję roboczą i tę, na której urządzenie pracuje. Działa to jak dokument redagowany w brudnopisie, który idzie do obiegu dopiero po naciśnięciu przycisku. Pułapka polega na tym, że zatwierdzenie domyślnie obejmuje wszystkie zmiany, do których dana osoba ma uprawnienia, także te zostawione tam przez kogoś innego trzy tygodnie wcześniej.

Druga rzecz to aktualizacje rozpoznań aplikacji, po których ruch trafia do nowej kategorii i przestaje pasować do istniejącej reguły. Objaw jest zawsze ten sam: rano nie działa jeden program, reszta działa, a nikt niczego nie zmieniał. Trzecia to inspekcja ruchu szyfrowanego, bez której połowa obietnicy zostaje na papierze, a jej włączenie wymaga własnego certyfikatu na wszystkich komputerach i wyjątków dla bankowości oraz spraw pracowniczych. Czwarta, najkosztowniejsza, to panel zarządzania wystawiony do internetu.

Dla kogo ten sprzęt nie powstał

W typowej firmie na kilkanaście albo kilkadziesiąt stanowisk ten sprzęt zwykle nie jest właściwym wyborem, i nie dlatego, że jest słaby. Firma bez osoby czytającej zapisy kupuje możliwości, których nikt nie włączy, i płaci za nie co roku, a subskrypcje, wsparcie producenta i godziny prowadzącego muszą zmieścić się w budżecie na kilka lat, nie tylko w roku zakupu.

Nie jest to również gotowa zgodność z przepisami. Żaden przepis nie wymienia marek ani modeli urządzeń brzegowych, więc sprzęt oferowany jako gotowa zgodność w pudełku jest oferowany jako coś, czym nie jest. Sam firewall Palo Alto rozwiązuje problem widoczności ruchu, a nie problem procedur.