Análisis y auditoría de reglas de firewall para cada regla de cada firewall.
Años de solicitudes de cambio dejan en cada base de reglas reglas ensombrecidas, duplicadas, conflictos, aperturas any/any y servicios que deberían haberse cerrado hace tiempo. ConnectMyAssets lee las bases de reglas de sus firewalls Fortinet, Palo Alto Networks, Cisco, Check Point y Juniper, resuelve cada objeto, encuentra las reglas ensombrecidas y las arriesgadas, asigna a cada regla su riesgo y permite a su equipo de seguridad añadir cualquier comprobación que necesite. La gestión de políticas de firewall se convierte en una auditoría continua, ejecutada en su propia infraestructura.
Reglas ensombrecidas, duplicadas y en conflicto detectadas automáticamente
Any/any, servicios inseguros y reglas sin registro
Un riesgo de 0 a 100 para cada regla
Comprobaciones propias sobre cada regla con el lenguaje de condiciones
On-premise, multifabricante, incluido con la gestión de red
Una política a nivel de regla y su informe; después los KPI, la auditoría de cada regla con su corrección, el cumplimiento y su propio panel de riesgo.
0 → 100puntuación de riesgo para cada regla de seguridad
10comprobaciones integradas aplicadas a cada regla
5fabricantes de firewall: Fortinet, Palo Alto Networks, Cisco, Check Point, Juniper
0agente o API de gestión necesarios: solo SSH
CASOS DE USO
Casos de uso de la auditoría de firewalls para los equipos de seguridad
Limpieza de reglas de firewall
Liste las reglas ensombrecidas que nunca pueden coincidir, las duplicadas y los conflictos, cada uno con las reglas implicadas, y reduzca la base de reglas con seguridad en lugar de adivinar qué regla sigue importando.
Proteger la zona PCI
Escriba una sola vez «ninguna regla de permiso con cualquier servicio hacia la zona PCI»: se comprueba cada regla de cada firewall, se listan los firewalls en infracción y la regla desaparece de la lista el día en que se corrige.
Cerrar los servicios inseguros
Encuentre cada regla de permiso que todavía deja pasar Telnet, FTP, TFTP, SMB, NetBIOS o SNMPv1/v2, detectada por puerto y por nombre, y redúzcalas hasta cero.
Responder a «¿quién puede llegar a este servidor?»
Busque una dirección o una subred y obtenga las reglas que la dejan pasar en cada firewall, según lo que los objetos y grupos resuelven realmente, no según sus nombres.
Informar al CISO del riesgo de los firewalls
Cree un panel «Riesgo de firewall» a partir de indicadores KPI (reglas de riesgo alto, reglas por riesgo, firewalls más arriesgados, reglas en infracción por política), compártalo con el equipo de seguridad y envíelo por correo electrónico cada mes.
FUNCIONALIDADES
Gestión de políticas de firewall pensada para los equipos de seguridad
Una vista normalizada de cada base de reglas, sea cual sea el fabricante, con hallazgos sobre los que actuar y comprobaciones que escribe usted mismo.
01
Reglas de firewall ensombrecidas
Se señala una regla que nunca puede coincidir porque una regla anterior del mismo contexto ya cubre todo su tráfico, con la regla que la ensombrece y, en la regla que ensombrece, las reglas que oculta.
02
Reglas duplicadas y en conflicto
Las reglas que coinciden con el mismo tráfico y la misma acción, y las reglas de permiso que se solapan con una denegación del mismo contexto, se detectan automáticamente. Una denegación de un host por encima del permiso de su red se interpreta como intencionada, no como un conflicto.
03
Reglas any/any y permisivas
Las reglas de permiso cuyos orígenes o destinos son cualquier dirección, o cuyos servicios son cualquier puerto, se señalan primero: son las aperturas que busca un atacante.
04
Servicios inseguros
Telnet, FTP, TFTP, HTTP, SMB, NetBIOS, SNMPv1/v2, rsh, SSLv3, TLS 1.0 y las demás entradas de una lista que puede editar se detectan por puerto y por nombre: un objeto llamado WEB en TCP 23 es Telnet.
05
Registro, perfiles y nombres no definidos
Se señalan las reglas sin registro, las reglas de permiso sin perfil de seguridad, los nombres que no se definen en ninguna parte de la configuración, las reglas sin comentario y los contextos sin denegación final explícita.
06
Un riesgo para cada regla
Cada regla de seguridad recibe un riesgo de 0 a 100, la proporción ponderada de las políticas que infringe, y cada firewall una puntuación ponderada. Ordene miles de reglas según lo que requiere atención primero.
07
Comprobaciones propias sobre cada regla
El lenguaje de condiciones se aplica a cada regla: acción, zonas, direcciones y puertos resueltos, aplicaciones, usuarios, registro, perfiles, horario, comentario y los hallazgos del análisis («ensombrecida y desde la zona guest»), con una vista previa en directo de los firewalls en infracción.
08
Objetos, NAT y zonas resueltos
Los objetos y grupos de direcciones y de servicios, las zonas, las reglas NAT y las IP virtuales se leen por VDOM o vsys y se resuelven en las direcciones IPv4 y los puertos que representan. Cada objeto muestra las reglas y los grupos que lo usan.
09
Cada cambio de regla conservado
Las reglas creadas, modificadas o eliminadas se registran en cada recogida con una instantánea: compare dos revisiones cualesquiera campo por campo y vea los nombres que una regla ha ganado o perdido.
10
KPI y paneles para el equipo de seguridad
Una vista general de los firewalls lista para usar (reglas por riesgo y por acción, riesgo medio por grupo, firewalls más arriesgados, reglas en infracción por política) y sus propios paneles construidos a partir de indicadores, donde cada cifra abre las reglas que hay detrás.
EN ACCIÓN
Un firewall, cada regla y cada objeto, con las preguntas ya planteadas para usted.Un panel «Riesgo de firewall» para el equipo de seguridad, construido con indicadores KPI en unos pocos clics.Cada regla de seguridad con lo que resuelve, su riesgo y sus hallazgos.
CÓMO FUNCIONA
Cómo funciona el análisis de reglas de firewall
Para ingenieros de seguridad: de la configuración en ejecución a reglas analizadas, puntuadas y consultables, y los KPI que se derivan.
Lectura por SSH, completa o nada
ConnectMyAssets lee la configuración en ejecución de cada firewall por SSH, sin agente ni API de gestión: reglas de seguridad, NAT, objetos y grupos, servicios, zonas, VDOM y vsys. Una salida truncada no cambia nada.
Nombres resueltos en conjuntos
Cada nombre se busca en el contexto de la regla y después en los objetos compartidos, y los grupos se despliegan hasta direcciones y puertos. Lo que no se puede resolver (un FQDN, un objeto dinámico, un nombre no definido en ninguna parte) se marca como tal, nunca se adivina.
Comparadas en el orden de evaluación
Las reglas se comparan contexto por contexto en el orden en que las evalúa el firewall (incluidas las reglas pre y post de Panorama), sobre conjuntos resueltos: dos objetos para la misma red son lo mismo, y se respetan los usuarios, horarios o categorías de URL que acotan una regla.
Se analiza de nuevo solo cuando cambia
Cada base de reglas recibe una huella. Una recogida sin cambios omite el análisis; una con cambios se analiza de nuevo por completo y solo se reescriben los hallazgos que han variado.
Reglas desactivadas y predeterminadas tratadas
Una regla desactivada no deja pasar nada, así que no conlleva riesgo, y las reglas predeterminadas de PAN-OS no se señalan como permisivas en cada firewall: se leen para comprobar la denegación final.
De los hallazgos a los KPI
Los riesgos y las infracciones alimentan la vista general de los firewalls y sus paneles: indicadores, barras, anillos y tendencias compartidos por grupo de usuarios, imprimibles en PDF, y cada cifra abre la lista de reglas que cuenta.
UN RECORRIDO CONCRETO
De la base de reglas a un firewall limpio y auditado
01
Recopilar
ConnectMyAssets lee por SSH las reglas, el NAT, los objetos y las zonas de cada firewall.
02
Analizar
Se resuelven los nombres, se comparan las reglas, se registran los hallazgos y se puntúa cada regla.
03
Añadir sus comprobaciones
Escriba sus propias políticas a nivel de regla con la vista previa en directo de los firewalls en infracción.
04
Limpiar e informar
Corrija primero las reglas más arriesgadas, siga los KPI y exporte las pruebas para su auditor.
FAQ
Respuestas a sus preguntas.
Prepare su proyecto y defina su alcance.
¿Qué es una regla de firewall ensombrecida?
Una regla ensombrecida nunca puede coincidir porque una regla anterior del mismo contexto ya coincide con todos los paquetes con los que coincidiría ella. Da una falsa sensación de control, infla la base de reglas y es casi imposible de detectar a mano en una política grande. ConnectMyAssets compara las reglas en el orden en que las evalúa el firewall, según lo que resuelven sus nombres, y registra la primera regla que ensombrece a cada una.
¿En qué se diferencian las reglas duplicadas de las ensombrecidas y de las que están en conflicto?
Una regla ensombrecida nunca se aplica porque una regla anterior ya coincide con todo su tráfico, sean cuales sean las acciones. Las reglas duplicadas coinciden con el mismo tráfico y la misma acción, estén donde estén. Las reglas en conflicto son un permiso y una denegación cuyo tráfico se solapa en el mismo contexto. ConnectMyAssets señala las tres por separado, cada una con las reglas implicadas.
¿Cómo hago una auditoría de firewalls?
Añada sus firewalls con una credencial SSH: ConnectMyAssets recopila sus bases de reglas, ejecuta las comprobaciones integradas (reglas permisivas, servicios inseguros, reglas ensombrecidas, duplicadas y en conflicto, nombres no definidos, sin registro, sin denegación final) y puntúa cada regla. Añada las comprobaciones que exige su política de seguridad y después imprima, exporte a CSV o NDJSON, o programe el envío del informe por correo electrónico.
¿Qué fabricantes de firewall son compatibles?
ConnectMyAssets analiza las bases de reglas de los firewalls Fortinet, Palo Alto Networks, Cisco, Check Point y Juniper. Las reglas de seguridad, el NAT, los objetos, las zonas y los servicios se leen de la configuración en ejecución por SSH, sin agente ni API de gestión, incluidos los contextos virtuales como VDOM y vsys.
¿Puedo escribir mis propias comprobaciones de reglas de firewall?
Sí. El lenguaje de condiciones del cumplimiento normativo se aplica a cada regla de firewall: combine AND, OR y NOT sobre la acción, las zonas, las direcciones y puertos resueltos, las aplicaciones, los usuarios, el registro, los perfiles de seguridad, el horario, el comentario y los hallazgos del análisis. Por ejemplo, «una regla de permiso desde la zona guest debe registrar y no tener origen any». La vista previa en directo lista los firewalls en infracción antes de guardar.
¿Cómo se calcula el riesgo de una regla de firewall?
El riesgo de una regla es el peso de las políticas que infringe dividido por el peso de las políticas en vigor en su firewall, de 0 a 100: medio desde 25, alto desde 50, crítico desde 75. Usted decide los pesos, de modo que el riesgo sigue sus propias prioridades. Una regla desactivada no tiene riesgo.
¿Qué KPI de firewall puede seguir el equipo de seguridad?
Reglas de riesgo alto y crítico, reglas por riesgo y por acción, riesgo medio por grupo, los firewalls más arriesgados, reglas en infracción por política, reglas no conformes por grupo y reglas ensombrecidas, duplicadas y en conflicto. Combínelos en sus propios paneles, compártalos por grupo de usuarios, imprímalos en PDF o envíelos en un informe programado por correo electrónico.
¿Es ConnectMyAssets una alternativa a Tufin?
Para el análisis y la auditoría de reglas de firewall, puede serlo. Tufin es una suite dedicada a la orquestación de políticas de seguridad; ConnectMyAssets adopta otro enfoque: se ejecuta on-premise en su propia infraestructura, analiza bases de reglas multifabricante y está incluido con la gestión de red (inventario, copia de seguridad de configuraciones, cumplimiento, seguimiento de CVE) en lugar de venderse como un producto aparte. Se despliega como imagen virtual (OVA) en su propia infraestructura, y una prueba de concepto dura 8 semanas una vez integrado y formado su equipo. ConnectMyAssets analiza y audita las reglas; no diseña ni aplica solicitudes de cambio en los firewalls, así que compare el alcance que necesita sobre sus propias bases de reglas.
