LiveAssurance para NGFW de Palo Alto Networks

Casos de uso

Para los clientes de los cortafuegos de próxima generación de Palo Alto Networks, dejar atrás la mentalidad reactiva cuando las cosas salen mal está al alcance de la mano. En esta sección, describimos ocho situaciones con las que podría encontrarse, con ejemplos concretos del mundo real. En cada una de ellas se analiza cómo LiveAssurance puede ayudarle a garantizar que su infraestructura de seguridad funcione según lo previsto.

Una vez detectados los problemas, LiveAssurance proporciona información práctica para ayudar a los equipos de operaciones de TI a resolverlos. Esto incluye una descripción del problema, los pasos para solucionarlo y enlaces a artículos del portal de soporte de Palo Alto Networks.

Caso de uso 1: Comprobación de estado con seguimiento

LiveAssurance evalúa continuamente el estado de los NGFW de Palo Alto Networks comparando las configuraciones esperadas de los dispositivos con el estado actual. El objetivo es detectar problemas latentes y solucionarlos antes de que afecten a los servicios.

Entre los problemas comunes detectados, basados en la experiencia real, se incluyen:

• Modo de depuración activado
• Siguiente salto inaccesible
• La regla de reenvío basada en políticas está inactiva
• Descifrado SSL: sesiones cerca de su capacidad máxima, uso elevado de memoria para el descifrado SSL, seguimiento de los contadores globales de SSL y notificación si el dispositivo ha optado por descartar paquetes o dejar el tráfico cifrado
• El número máximo de rutas se acerca al límite
• Los contadores de paquetes perdidos aumentan significativamente: paquetes TCP no sincronizados, denegación de políticas de flujo, paquetes con NAT
• La capacidad de los grupos de direcciones dinámicas se está acercando al límite del dispositivo

Figura 1. LiveAssurance muestra los problemas de estado y las medidas correctivas

Caso de uso 2: Servicios críticos externos

Los cortafuegos dependen, casi en tiempo real, de muchos servicios externos. Es importante supervisar la conexión con estos servicios críticos. Mediante pruebas periódicas, las funciones de automatización de LiveAssurance garantizan que la comunicación con estos servicios externos esté disponible en todo momento.

Figura 2. LiveAssurance se comunica con servicios críticos externos

Entre los servicios críticos que requiere un cortafuegos se incluyen la sincronización del reloj con un servidor NTP, el acceso al DNS para la resolución de nombres y el reenvío del syslog a un servidor externo con fines de auditoría, cumplimiento normativo, resolución de problemas o respuesta ante incidentes.

Es posible que los cortafuegos necesiten acceso continuo a Active Directory para identificar a los usuarios y tomar decisiones de reenvío. También necesitan acceso a servidores RADIUS o LDAP para la autenticación y autorización de los usuarios.

Para dotar a los cortafuegos de la información preventiva más reciente, estos reciben actualizaciones frecuentes de WildFire, la nube de filtrado de URL y otras herramientas. Las actualizaciones oportunas son fundamentales para proteger tus redes antes de que las amenazas se generalicen. LiveAssurance comprueba continuamente que los paquetes se mantengan actualizados, manteniendo siempre una conexión activa. También garantiza que se sigan las mejores prácticas. Esto incluye, por ejemplo, asegurarse siempre de que la acción esté configurada en «descargar e instalar» y que la frecuencia de WildFire esté establecida en un minuto.

Los cortafuegos también necesitan políticas actualizadas de Panorama. Es probable que tus cortafuegos estén importando objetos (como direcciones IP, URL y dominios) desde un servidor web externo para protegerse contra hosts maliciosos. La lista de objetos se conoce como lista dinámica externa (EDL). LiveAssurance va más allá de la mera comprobación de la accesibilidad al servidor web que aloja la EDL. También garantiza que la EDL no esté vacía y que no haya alcanzado su capacidad máxima.

Caso de uso 3: Errores de configuración

La configuración incorrecta de los dispositivos es otra de las principales causas de los tiempos de inactividad no planificados. Los errores de configuración pueden crear brechas de seguridad en tu red, haciéndola vulnerable a los ciberataques. LiveAssurance detecta continuamente las configuraciones incorrectas comparándolas con un estándar de referencia para tu red. Incluso te avisa si ha fallado una aplicación de cambios programada desde Panorama.

Entre los problemas de configuración incorrecta sobre los que LiveAssurance podría alertarle se incluyen:

• Ruta predeterminada en la tabla de rutas estáticas no disponible
• La tabla de enrutamiento estático ha cambiado
• La configuración de DNS, Panorama, NTP o RADIUS no cumple los requisitos
• La configuración de la cadena de comunidad SNMP o de la cadena de comunidad de trampas SNMP no cumple los requisitos
• La configuración de la zona horaria no cumple los requisitos
• Panorama: compromiso no programado o fallo en el compromiso programado
• Perfil(es) de autenticación mal configurado(s)
• Los EDL configurados no se utilizan en la política

Caso de uso 4: Preparación para la alta disponibilidad

Para evitar un único punto de fallo en su red, ha realizado la inversión necesaria para implementar una infraestructura redundante que garantice la disponibilidad constante de los servicios. Lamentablemente, a pesar de la inversión, las conmutaciones por error no siempre se producen sin problemas.

LiveAssurance detecta constantemente la falta de preparación para la alta disponibilidad a partir de inconsistencias entre dispositivos. Esto incluye el estado de la configuración y garantizar el cumplimiento de las mejores prácticas. Entre los ejemplos de problemas de preparación para la alta disponibilidad que LiveAssurance podría detectar y sobre los que podría emitir alertas se incluyen:

• La interfaz de alta disponibilidad no recibe tráfico
• Miembro del par de alta disponibilidad en estado suspendido durante demasiado tiempo
• El clúster tiene habilitada la preemptividad
• Configuración del clúster no sincronizada
• Configuraciones de alta disponibilidad que no cumplen con las mejores prácticas

Caso de uso 5: Detectar automáticamente los riesgos de seguridad y garantizar el cumplimiento normativo

Las empresas prestan una atención extrema a la forma en que protegen su infraestructura de seguridad. El refuerzo de la seguridad de los dispositivos es necesario para reducir la superficie de ataque. BlueCat LiveAssurance cuenta con cientos de elementos de automatización para identificar riesgos de seguridad e incumplimientos normativos. Independientemente de cuáles sean sus requisitos de cumplimiento normativo, es probable que dispongamos de las validaciones de controles de seguridad necesarias para ayudarle a prepararse para su auditoría.

Por ejemplo, a continuación se muestran algunas capturas de pantalla de un informe de cumplimiento de la Norma de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS):

Figura 3. Instantánea del informe de cumplimiento de la norma PCI DSS de LiveAssurance

Caso de uso 6: Automatizar tareas de mantenimiento que se olvidan fácilmente

Mantener la disponibilidad requiere un mantenimiento continuo. Tareas como la copia de seguridad de la configuración de los dispositivos son importantes para garantizar que su infraestructura de seguridad esté a salvo de fallos e interrupciones. LiveAssurance automatiza la copia de seguridad de la configuración de los dispositivos y le avisa de forma proactiva si la copia de seguridad no se realiza correctamente.

Una de las tareas de mantenimiento que más fácilmente se olvida es la renovación de certificados. Tus cortafuegos utilizan certificados para diversos fines. Se necesitan certificados válidos para la inspección SSL de tráfico entrante, la autenticación de usuarios, la autenticación de dispositivos para la VPN GlobalProtect, la VPN IPSec de sitio a sitio, la validación de EDL y el acceso de los agentes User-ID y TS. No disponer de un certificado válido probablemente afectará a los servicios. LiveAssurance emite avisos con antelación si los certificados están a punto de caducar, lo que le da tiempo suficiente para tomar medidas. LiveAssurance también comprueba que las licencias sean válidas para garantizar el cumplimiento de las licencias de software, ya sea para el soporte técnico del proveedor, el hardware, el software o el acceso a la inteligencia sobre amenazas. La automatización de estas actividades de mantenimiento puede ayudar realmente a mantener el buen estado y el rendimiento de sus cortafuegos.

Caso de uso 7: Resolución automatizada de problemas

Cuando se detecta un problema, LiveAssurance aplica automáticamente al mismo los conocimientos específicos del dispositivo. Analiza el problema para acelerar el análisis de la causa raíz.

Veamos un ejemplo sencillo: un cortafuegos no puede conectarse a su servidor EDL. Antes de proceder a la resolución del problema, LiveAssurance recopila la información necesaria para llevar a cabo una resolución eficaz, tal y como lo haría una persona. En este ejemplo, una resolución eficaz implica comprender si hay un proxy involucrado, cuál es la puerta de enlace de la ruta del servicio, etc.

Para acceder al servidor EDL, el primer paso es asegurarse de que el cortafuegos pueda llegar a su puerta de enlace de ruta de servicio EDL. Para ello, ejecutamos un comando ping desde el cortafuegos. Se puede ver el resultado de la ejecución del comando ping. En este caso, el cortafuegos puede llegar a su puerta de enlace de ruta de servicio.

Sabiendo que el cortafuegos puede conectarse con el exterior, el siguiente paso es obtener la dirección IP externa del servidor EDL. Para ello, necesitamos resolver la dirección IP del servidor EDL. Tenemos en cuenta si hay algún proxy en el entorno. En este ejemplo, no lo hay. Simplemente recuperamos la URL del servidor EDL y resolvemos la dirección IP.

Para asegurarnos de que podemos resolver la dirección IP, comprobamos que podemos acceder al servidor DNS ejecutando un comando ping. Si podemos acceder al servidor DNS, podemos concluir con seguridad que la causa raíz del problema se debe a la resolución de DNS.

En este ejemplo, podemos acceder al servidor DNS, pero no podemos resolver la dirección IP. Por lo tanto, podemos concluir que la causa raíz del problema se debe a la resolución de DNS.

No siempre es posible que LiveAssurance determine la causa raíz de un problema. El objetivo es detectar el problema en el momento en que se produce. De este modo, hay más posibilidades de recopilar información sobre los eventos y las condiciones que provocaron el problema, por lo que no es necesario recrear el fallo. Esto resulta especialmente útil en el caso de problemas intermitentes. Recrear un problema puede resultar difícil; lo que es peor, a menudo no es factible.

Caso de uso 8: Solicitudes de cambio relacionadas con la transformación digital

Las solicitudes de cambio (CR) son una parte inevitable de las iniciativas de transformación digital para infraestructuras críticas, tanto en entornos de pruebas como en entornos de producción en vivo. Si bien las CR son necesarias, también plantean importantes retos y riesgos si no se ejecutan correctamente. Reconocer las señales de advertencia de que los parches o las actualizaciones no se han aplicado correctamente es un proceso manual, lo que puede prolongar el tiempo necesario para corregir los errores.

Manifest, en BlueCat LiveAssurance, simplifica la gestión de cambios en diversos entornos de TI para garantizar que la infraestructura crítica vuelva a su estado normal tras aplicar las actualizaciones. Los equipos de red pueden programar instantáneas automatizadas del estado y la configuración de los dispositivos antes y después de las actualizaciones solicitadas para confirmar que los servicios vuelven a estar operativos.