Auditoría de reglas de firewall: encuentre las reglas de riesgo e inútiles
Su política de firewall ha crecido durante años. Dentro se esconden reglas ensombrecidas, duplicados, conflictos y permisos any/any. ConnectMyAssets audita cada base de reglas automáticamente, en cada recopilación, y le indica qué es redundante, qué es peligroso y qué no registra, para que pueda limpiar y seguir cumpliendo.
- ✓Reglas ensombrecidas, con la regla que las ensombrece
- ✓Reglas duplicadas y en conflicto
- ✓Reglas any/any, servicios inseguros, nombres no definidos
- ✓Reglas sin registro, nivel de riesgo por regla
- ✓Cualquier regla personalizada mediante el lenguaje de condiciones
- ✓Fortinet, Palo Alto Networks, Cisco, Check Point y Juniper, rápido con bases de reglas muy grandes
Por qué una auditoría de reglas de firewall no puede esperar
Una política de firewall empresarial contiene de cientos a miles de reglas, acumuladas a lo largo de años de proyectos, cambios de equipo y correcciones urgentes. Algunas están ensombrecidas y nunca se evalúan, otras duplican o contradicen a otras, algunas permiten any/any o servicios inseguros y otras no registran. Cada una es un riesgo de seguridad, un hallazgo de auditoría y una fuente de problemas al diagnosticar. Una revisión manual es lenta, propensa a errores y, en el mejor de los casos, se hace una o dos veces al año. ConnectMyAssets ejecuta el análisis en cada recopilación, para que usted encuentre los problemas antes que su próxima auditoría.
Capacidades de auditoría de reglas de firewall
De la detección de reglas ensombrecidas a las evidencias PCI-DSS, todo lo que su equipo de seguridad necesita para mantener una política de firewall limpia y auditable.
Detección de reglas ensombrecidas
Una regla ensombrecida nunca puede coincidir porque una regla superior ya captura el mismo tráfico. ConnectMyAssets lee la base de reglas de arriba abajo, resuelve objetos y grupos y señala cada regla totalmente ensombrecida, junto con la regla que la ensombrece. Obtiene una lista clara de reglas muertas que eliminar o reordenar.
Reglas duplicadas y en conflicto
Las reglas duplicadas coinciden con el mismo tráfico con la misma acción y solo añaden ruido. Las reglas en conflicto coinciden con tráfico solapado con acciones opuestas, de modo que el resultado depende de su orden. Ambas se señalan con las reglas implicadas, para que entienda la intención antes de limpiar.
Any/any y servicios inseguros
Las reglas con cualquier origen, cualquier destino o cualquier servicio son una alerta en toda auditoría. ConnectMyAssets las señala, junto con las reglas que permiten servicios inseguros (Telnet, FTP, gestión por HTTP sin cifrar...) y las referencias a nombres no definidos. Cada regla recibe un nivel de riesgo, para que corrija primero las críticas.
Reglas sin registro
Una regla que no registra no deja rastro cuando coincide, lo que impide investigar incidentes e incumple la mayoría de los requisitos de cumplimiento. ConnectMyAssets enumera todas las reglas sin registro, para que pueda activarlo donde importa y demostrarlo a su auditor.
Cualquier regla personalizada que necesite
Más allá del análisis integrado, escriba sus propias comprobaciones con el completísimo lenguaje de condiciones: «ninguna regla puede permitir que la zona internet llegue a la zona de bases de datos», «toda regla de permiso debe tener un comentario», «servicios de gestión solo desde la subred de administración». Las comprobaciones se evalúan de forma continua y alimentan la puntuación de cumplimiento ponderada.
Pensado para grandes bases de reglas
ConnectMyAssets recopila por SSH las bases de reglas de los firewalls Fortinet, Palo Alto Networks, Cisco, Check Point y Juniper, con reglas de seguridad, NAT, objetos, zonas, servicios y contextos virtuales. El análisis sigue siendo rápido incluso con bases de reglas muy grandes.
Cómo funciona
Conecte sus firewalls
Guarde una credencial SSH en el almacén y deje que el descubrimiento encuentre sus firewalls. La recopilación es sin agentes: no hay nada que instalar en el firewall. ConnectMyAssets lee la configuración y construye la base de reglas con sus objetos, grupos, zonas y servicios, en cada recopilación periódica.
Lance el análisis de reglas de firewall
Cada regla se comprueba en busca de ensombrecimiento, duplicados, conflictos, any/any, servicios inseguros, nombres no definidos y ausencia de registro, y recibe un nivel de riesgo. Sus reglas personalizadas se ejecutan además. Filtre por gravedad, abra un hallazgo y vea la regla exacta, su posición y el motivo por el que se señaló.
Limpie, documente, demuestre
Corrija las reglas y deje que la siguiente recopilación confirme el resultado: Soron señala el cambio de configuración y el análisis se actualiza. Exporte los hallazgos en CSV o NDJSON, imprímalos o guárdelos en PDF, o envíe informes programados por correo electrónico para su revisión semestral PCI-DSS o su evaluación NIS2.
Funciones relacionadas de la plataforma
Cada regla auditada, en cada firewall.
Preguntas frecuentes
Preguntas habituales sobre la auditoría de reglas de firewall
¿Qué es una regla de firewall ensombrecida y por qué es un problema?
Una regla ensombrecida nunca puede coincidir porque una regla de mayor prioridad ya cubre todo el tráfico que coincidiría con ella. Por ejemplo, si la regla 10 permite «cualquier origen hacia cualquier destino en el puerto 443» y la regla 50 permite «10.0.0.0/8 hacia 192.168.1.0/24 en el puerto 443», la regla 50 está ensombrecida: su tráfico ya lo gestiona la regla 10. Las reglas ensombrecidas indican una mala higiene de la política, pueden ocultar el comportamiento real del firewall y son un hallazgo clásico de auditoría. ConnectMyAssets identifica cada regla ensombrecida y muestra la regla que la ensombrece, para que pueda eliminarla, reordenarla o modificarla con confianza.
¿Cómo identifica ConnectMyAssets las reglas de firewall demasiado permisivas?
Cada regla se comprueba en busca de cualquier origen, cualquier destino y cualquier servicio, de servicios inseguros y de referencias a nombres no definidos. Cada hallazgo tiene una gravedad y la regla recibe un nivel de riesgo global: una regla de permiso any/any/any es crítica, mientras que un rango amplio de servicios en una regla interna puede ser solo una advertencia. Con el lenguaje de condiciones puede añadir sus propios criterios, por ejemplo reglas que permiten que una zona no fiable llegue a una zona sensible. Cada hallazgo muestra la regla exacta y el campo que lo provocó.
¿Qué diferencia hay entre reglas duplicadas y reglas en conflicto?
Las reglas duplicadas coinciden con el mismo tráfico y aplican la misma acción: una de ellas es inútil y solo hace la política más difícil de leer. Las reglas en conflicto coinciden con tráfico solapado pero aplican acciones opuestas (una permite, la otra deniega): el resultado depende de su orden, que a menudo no es lo que pretendía su autor. ConnectMyAssets señala ambas y nombra las reglas implicadas.
¿Admite ConnectMyAssets la auditoría de reglas de firewall para el cumplimiento PCI-DSS?
Sí. El requisito 1.2.7 de PCI-DSS le pide revisar los conjuntos de reglas de los controles de seguridad de red al menos cada seis meses. ConnectMyAssets prepara esa revisión con un análisis actualizado de cada base de reglas (reglas ensombrecidas, duplicadas y en conflicto, any/any, servicios inseguros, reglas sin registro, riesgo por regla), sus propias comprobaciones personalizadas y exportaciones (CSV, NDJSON, impresión o PDF) o informes programados por correo electrónico que puede entregar a su QSA.
¿Qué fabricantes de firewall admite la auditoría de reglas?
El análisis de reglas cubre los firewalls más desplegados: Fortinet, Palo Alto Networks, Cisco, Check Point y Juniper, con reglas de seguridad, NAT, objetos de direcciones y de servicios, grupos, zonas y contextos virtuales (VDOM, vsys).
¿En qué se diferencia una auditoría de reglas de firewall de una auditoría de configuración de firewall?
Una auditoría de configuración de firewall comprueba el propio equipo: versión de firmware y CVE, acceso de gestión, destinos de registro, ajustes SSH y HTTPS, certificados TLS y bastionado del plano de gestión. Una auditoría de reglas de firewall se centra en la política de seguridad: las reglas que deciden qué tráfico se permite o se deniega. ConnectMyAssets hace ambas: las políticas de cumplimiento y la auditoría de certificados TLS cubren el bastionado del equipo, mientras que el análisis de reglas de firewall cubre la política de tráfico. La mayoría de los marcos de cumplimiento exigen ambas.
Limpie su política de firewall antes de su próxima auditoría
En su política de firewall se esconden reglas ensombrecidas, duplicados, conflictos y permisos any/any. ConnectMyAssets los encuentra automáticamente, para que su equipo de seguridad actúe antes que un auditor o un atacante.