Jahre voller Change Requests hinterlassen in jedem Regelwerk verdeckte Regeln, Duplikate, Widersprüche, any/any-Freigaben und Dienste, die längst hätten geschlossen werden müssen. ConnectMyAssets liest die Regelwerke Ihrer Firewalls von Fortinet, Palo Alto Networks, Cisco, Check Point und Juniper, löst jedes Objekt auf, findet verdeckte und riskante Firewall-Regeln, bewertet das Risiko jeder Regel und lässt Ihr Security-Team jede benötigte Prüfung ergänzen. Firewall-Policy-Management wird zu einem kontinuierlichen Firewall-Audit, betrieben auf Ihrer eigenen Infrastruktur.
Demo anfordernListen Sie die verdeckten Regeln, die nie greifen können, die Duplikate und die Widersprüche auf, jeweils mit den beteiligten Regeln, und verkleinern Sie das Regelwerk mit Sicherheit, statt zu raten, welche Regel noch gebraucht wird.
Schreiben Sie einmal „keine Allow-Regel mit beliebigem Dienst in die PCI-Zone“: Jede Regel jeder Firewall wird geprüft, die Firewalls mit Verstoß werden aufgelistet, und die Regel verschwindet aus der Liste, sobald sie korrigiert ist.
Finden Sie jede Allow-Regel, die noch Telnet, FTP, TFTP, SMB, NetBIOS oder SNMPv1/v2 durchlässt, erkannt über Port und Namen, und bauen Sie sie bis auf null ab.
Suchen Sie eine Adresse oder ein Subnetz und erhalten Sie die Regeln, die den Verkehr auf jeder Firewall durchlassen, ausgewertet nach dem, worauf Objekte und Gruppen tatsächlich auflösen, nicht nach ihren Namen.
Erstellen Sie ein Dashboard „Firewall-Risiko“ aus Kennzahlen (Regeln mit hohem Risiko, Regeln nach Risiko, riskanteste Firewalls, Regeln mit Verstoß je Richtlinie), teilen Sie es mit dem Security-Team und versenden Sie es monatlich per E-Mail.
Eine einheitliche Sicht auf jedes Regelwerk, unabhängig vom Hersteller, mit verwertbaren Befunden und Prüfungen, die Sie selbst schreiben.
Eine Regel, die nie greifen kann, weil eine frühere Regel im selben Kontext bereits ihren gesamten Verkehr abdeckt, wird gemeldet, mit der Regel, die sie verdeckt, und auf der verdeckenden Regel die Regeln, die sie verbirgt.
Regeln, die denselben Verkehr mit derselben Aktion erfassen, und Allow-Regeln, die sich mit einem Deny im selben Kontext überschneiden, werden automatisch gefunden. Ein Deny für einen Host über dem Allow seines Netzes gilt als beabsichtigt, nicht als Widerspruch.
Allow-Regeln, deren Quellen oder Ziele jede Adresse oder deren Dienste jeden Port umfassen, werden zuerst gemeldet: die Öffnungen, nach denen ein Angreifer sucht.
Telnet, FTP, TFTP, HTTP, SMB, NetBIOS, SNMPv1/v2, rsh, SSLv3, TLS 1.0 und die übrigen Einträge einer bearbeitbaren Liste werden über Port und Namen erkannt: Ein Objekt namens WEB auf TCP 23 ist Telnet.
Regeln ohne Logging, Allow-Regeln ohne Sicherheitsprofil, Namen, die nirgendwo in der Konfiguration definiert sind, Regeln ohne Kommentar und Kontexte ohne explizites abschließendes Deny werden gemeldet.
Jede Sicherheitsregel erhält eine Risikobewertung von 0 bis 100, den gewichteten Anteil der Richtlinien, gegen die sie verstößt, und jede Firewall einen gewichteten Score. Sortieren Sie Tausende Regeln nach dem, was zuerst Aufmerksamkeit braucht.
Die Bedingungssprache gilt für jede Regel: Aktion, Zonen, aufgelöste Adressen und Ports, Anwendungen, Benutzer, Logging, Profile, Zeitplan, Kommentar und die Befunde der Analyse („verdeckt und aus Zone guest“), mit einer Live-Vorschau der Firewalls mit Verstoß.
Adress- und Dienstobjekte und -gruppen, Zonen, NAT-Regeln und virtuelle IPs werden je VDOM oder vsys gelesen und auf die IPv4-Adressen und Ports aufgelöst, für die sie stehen. Jedes Objekt zeigt die Regeln und Gruppen, die es nutzen.
Angelegte, geänderte oder entfernte Regeln werden bei jeder Erfassung mit einem Snapshot festgehalten: Vergleichen Sie zwei beliebige Revisionen Feld für Feld und sehen Sie, welche Namen eine Regel hinzugewonnen oder verloren hat.
Eine Firewall-Übersicht ab Werk (Regeln nach Risiko und Aktion, durchschnittliches Risiko je Gruppe, riskanteste Firewalls, Regeln mit Verstoß je Richtlinie) und Ihre eigenen Dashboards aus Kennzahlen, wobei jede Zahl die zugrunde liegenden Regeln öffnet.
Für Security-Engineers: von der laufenden Konfiguration zu analysierten, bewerteten und durchsuchbaren Regeln und den daraus folgenden KPIs.
ConnectMyAssets liest die laufende Konfiguration jeder Firewall per SSH, ohne Agent und ohne Management-API: Sicherheitsregeln, NAT, Objekte und Gruppen, Dienste, Zonen, VDOMs und vsys. Eine abgeschnittene Ausgabe ändert nichts.
Jeder Name wird im Kontext der Regel nachgeschlagen, dann in den gemeinsamen Objekten, und Gruppen werden bis auf Adressen und Ports aufgelöst. Was sich nicht auflösen lässt (ein FQDN, ein dynamisches Objekt, ein nirgends definierter Name), wird als solches markiert, nie geraten.
Regeln werden Kontext für Kontext in der Reihenfolge verglichen, in der die Firewall sie auswertet (einschließlich Panorama-Pre- und -Post-Rules), über aufgelöste Mengen: Zwei Objekte für dasselbe Netz sind identisch, und Benutzer, Zeitpläne oder URL-Kategorien, die eine Regel einschränken, werden berücksichtigt.
Jedes Regelwerk erhält einen Fingerabdruck. Eine unveränderte Erfassung überspringt die Analyse; eine geänderte wird vollständig neu analysiert, und nur die veränderten Befunde werden neu geschrieben.
Eine deaktivierte Regel lässt nichts durch und trägt daher kein Risiko, und die Standardregeln von PAN-OS werden nicht auf jeder Firewall als zu weit gefasst gemeldet: Sie werden stattdessen gelesen, um das abschließende Deny zu prüfen.
Risiken und Verstöße speisen die Firewall-Übersicht und Ihre Dashboards: Kennzahlen, Balken, Donuts und Trends, je Benutzergruppe geteilt, als PDF druckbar, und jede Zahl öffnet die Liste der Regeln, die sie zählt.
ConnectMyAssets liest Regeln, NAT, Objekte und Zonen jeder Firewall per SSH.
Namen werden aufgelöst, Regeln verglichen, Befunde festgehalten und jede Regel bewertet.
Schreiben Sie eigene Richtlinien auf Regelebene, mit der Live-Vorschau der Firewalls mit Verstoß.
Korrigieren Sie zuerst die riskantesten Regeln, verfolgen Sie die KPIs und exportieren Sie die Nachweise für Ihren Auditor.
Bereiten Sie Ihr Projekt vor und legen Sie Ihren Umfang fest.
Eine verdeckte Regel (shadowed rule) kann nie greifen, weil eine frühere Regel im selben Kontext bereits jedes Paket erfasst, das sie erfassen würde. Sie vermittelt eine falsche Sicherheit, bläht das Regelwerk auf und ist in einer großen Policy von Hand kaum zu finden. ConnectMyAssets vergleicht Regeln in der Reihenfolge, in der die Firewall sie auswertet, anhand dessen, worauf ihre Namen auflösen, und hält für jede Regel die erste Regel fest, die sie verdeckt.
Eine verdeckte Regel greift nie, weil eine frühere Regel bereits ihren gesamten Verkehr erfasst, unabhängig von den Aktionen. Doppelte Regeln erfassen denselben Verkehr mit derselben Aktion, wo immer sie stehen. Widersprüchliche Regeln sind ein Allow und ein Deny, deren Verkehr sich im selben Kontext überschneidet. ConnectMyAssets meldet die drei getrennt, jeweils mit den beteiligten Regeln.
Fügen Sie Ihre Firewalls mit SSH-Zugangsdaten hinzu: ConnectMyAssets erfasst ihre Regelwerke, führt die integrierten Prüfungen aus (zu weit gefasste Regeln, unsichere Dienste, verdeckte, doppelte und widersprüchliche Regeln, undefinierte Namen, fehlendes Logging, fehlendes abschließendes Deny) und bewertet jede Regel. Ergänzen Sie die Prüfungen, die Ihre Sicherheitsrichtlinie verlangt, und drucken Sie den Bericht, exportieren Sie ihn als CSV oder NDJSON oder planen Sie ihn per E-Mail.
ConnectMyAssets analysiert die Regelwerke von Firewalls von Fortinet, Palo Alto Networks, Cisco, Check Point und Juniper. Sicherheitsregeln, NAT, Objekte, Zonen und Dienste werden per SSH aus der laufenden Konfiguration gelesen, ohne Agent und ohne Management-API, virtuelle Kontexte wie VDOMs und vsys eingeschlossen.
Ja. Die Bedingungssprache der Compliance gilt für jede Firewall-Regel: Kombinieren Sie AND, OR und NOT über Aktion, Zonen, aufgelöste Adressen und Ports, Anwendungen, Benutzer, Logging, Sicherheitsprofile, Zeitplan, Kommentar und die Befunde der Analyse. Zum Beispiel „eine Allow-Regel aus Zone guest muss loggen und darf keine Quelle any haben“. Die Live-Vorschau listet die Firewalls mit Verstoß, bevor Sie speichern.
Das Risiko einer Regel ist das Gewicht der Richtlinien, gegen die sie verstößt, geteilt durch das Gewicht der auf ihrer Firewall geltenden Richtlinien, von 0 bis 100: mittel ab 25, hoch ab 50, kritisch ab 75. Sie legen die Gewichte fest, so folgt das Risiko Ihren eigenen Prioritäten. Eine deaktivierte Regel hat kein Risiko.
Regeln mit hohem und kritischem Risiko, Regeln nach Risiko und Aktion, durchschnittliches Risiko je Gruppe, die riskantesten Firewalls, Regeln mit Verstoß je Richtlinie, nicht konforme Regeln je Gruppe, verdeckte, doppelte und widersprüchliche Regeln. Kombinieren Sie sie in eigenen Dashboards, teilen Sie sie je Benutzergruppe, drucken Sie sie als PDF oder versenden Sie sie in einem geplanten E-Mail-Bericht.
Für Firewall-Regelanalyse und Firewall-Audit kann es das sein. Tufin ist eine spezialisierte Suite zur Orchestrierung von Sicherheitsrichtlinien; ConnectMyAssets verfolgt einen anderen Ansatz: Es läuft On-Premises auf Ihrer eigenen Infrastruktur, analysiert herstellerübergreifende Regelwerke und ist im Netzwerkmanagement enthalten (Inventar, Konfigurations-Backup, Compliance, CVE-Tracking), statt als separates Produkt verkauft zu werden. Es wird als virtuelles Image (OVA) auf Ihrer eigenen Infrastruktur bereitgestellt, und ein Proof of Concept dauert 8 Wochen, gezählt ab Integration und Schulung Ihres Teams. ConnectMyAssets analysiert und auditiert Regeln; es entwirft keine Firewall-Change-Requests und spielt sie nicht aus, vergleichen Sie also den benötigten Umfang an Ihren eigenen Regelwerken.
Sehen Sie, was ConnectMyAssets für Ihr Team verändern kann. Auf Ihrer Infrastruktur, mit Ihren Anforderungen.
Demo anfordern