Grupo Smartekh

Un firewall de última generación restaura la visibilidad y el control de las aplicaciones de la empresas de hoy en día y explora las amenazas que pueden existir en el contenido de las aplicaciones. De este modo, las organizaciones pueden gestionar el riesgo de manera más eficiente. Entre los requisitos básicos que deben cumplir los firewalls de última generación se encuentran los siguientes:

• El firewall es el componente de infraestructura de seguridad más estratégico, ya que visualiza todo el tráfico y, como tal, es el medio ideal para imponer la política de seguridad. Desafortunadamente, los firewalls tradicionales dependen del puerto y el protocolo para clasificar el tráfico, lo que permite a las aplicaciones y los usuarios expertos en tecnología esquivarlos con facilidad saltando puertos, utilizando SSL, accediendo a través del puerto 80 o utilizando puertos no estándar.
• La pérdida de visibilidad y control resultante expone a las empresas a tiempo de inactividad de la red, incumplimiento de normas, aumento de los gastos operativos y posible pérdida de datos. El enfoque tradicional para resolver el problema precisaba el despliegue de “ayudantes de cortafuegosâ€? adicionales como respaldo del cortafuegos. Este costoso enfoque no resuelve el problema ya que se produciría una visibilidad limitada del tráfico, una gestión complicada, una latencia provocada por el diseño de software de exploración múltiple y un escaso rendimiento.
• Los cortafuegos de última generación de Palo Alto NetworksTM depositan de nuevo en manos del cortafuegos, que es a quien pertenecen, la visibilidad y el control de alto rendimiento, basados en políticas, de las aplicaciones, los usuarios y los contenidos.

El firewall de última generación de Palo Alto Networks se basa en una arquitectura de procesamiento paralelo, un enfoque único para la integración de software y hardware que simplifica la gestión, racionaliza el procesamiento y maximiza el rendimiento. Este software realiza la búsqueda de política, la identificación y el descifrado de aplicaciones, la asignación de usuarios de Active Directory y la exploración de contenidos (virus, spyware, IPS) una sola vez en un segmento de tráfico concreto. El software está vinculado directamente a una plataforma de hardware de procesamiento paralelo que utiliza procesadores de función específica para redes, seguridad, prevención de amenazas y gestión con el fin de maximizar el rendimiento y minimizar la latencia.

• Identificar las aplicaciones con independencia del puerto, protocolo, codificación SSL o táctica evasiva utilizada.
• Permitir un control mediante políticas basado en la identidad del usuario o en la pertenencia a un grupo, y no sólo en la dirección IP.
• Proteger en tiempo real de los ataques y el software malicioso incrustado en el tráfico de las aplicaciones.
• Simplificar la gestión de políticas con herramientas de visualización potentes y un editor de políticas unificado.
• Proporcionar un rendimiento multi-gigabit sin degradación al utilizarlo en línea.

Tecnologías de identificación exclusivas que permiten la visibilidad y el control

Los tres elementos clave de la arquitectura de procesamiento paralelo que permite la visibilidad y el control de aplicaciones, usuarios y contenidos son App-ID, User-ID y Content-ID. Estas exclusivas tecnologías de identificación ayudan a los directores de TI a determinar de forma precisa lo que ocurre en su red y, de este modo, poder tomar decisiones más fundamentadas y mejorar su postura de seguridad.

• Tecnología App-ID, con hasta cuatro mecanismos distintos de clasificación del tráfico, App-IDTM identifica con precisión qué aplicaciones se están ejecutando en la red, independientemente del puerto, el protocolo, la codificación SSL o la táctica evasiva empleados. App-ID proporciona a los administradores un aumento de la visibilidad de la identidad real de la aplicación, lo que les permite desplegar políticas globales de control de uso de aplicaciones tanto para el tráfico entrante como para el saliente. Identifica más de 1000 aplicaciones y sus variantes.



• Tecnología User-ID, se integra con Microsoft Active Directory permitiendo vincular la dirección IP con la información de usuarios y grupos concretos, lo que permite a las organizaciones de TI controlar las aplicaciones y los contenidos de acuerdo con la información sobre empleados almacenada en Active Directory. User-ID permite a los administradores aprovechar los datos de usuarios y grupos para tener una perfecta visibilidad de las aplicaciones, facilitar la creación de políticas y generación de registros e informes.



• Tecnología Content-ID, se trata de un motor de exploración basada en el flujo que utiliza un formato de firma uniforme para la prevención de amenazas, detección y bloqueo de un gran número de amenazas. De igual modo, limita la transferencia no autorizada de archivos y datos confidenciales al tiempo que una extensa base de datos URL controla la navegación por Internet no relacionada con el trabajo. Content-ID proporciona también visibilidad en Citrix y en entornos de servicios terminales, lo que permite la visibilidad completa de aplicaciones, la creación de políticas, así como la generación de registros e informes.

Potentes herramientas de visualización y gestión

Un potente conjunto de herramientas de visualización, entre las que se encuentran Application Command Center (ACC), App-Scope, el visualizador de registros y la generación de informes personalizables por completo, ofrece a los administradores de seguridad un amplio surtido de puntos de datos sobre las aplicaciones que recorren la red, quién las utiliza y el impacto que pueden tener sobre la seguridad.

• Application Command Center (ACC): ACC muestra gráficamente una vista actual de las aplicaciones, las URL, las amenazas y los datos (archivos y tramas) que recorren la red. Un administrador puede investigar una aplicación mediante la aplicación de filtros para ver qué empleados están utilizando la aplicación y las amenazas que pueden introducir en la red. Se pueden añadir más filtros para obtener información adicional sobre el comportamiento de un usuario individual, las amenazas y los patrones de tráfico asociados. La visibilidad que ofrece la explotación de datos de ACC permite a los administradores tomar decisiones más fundamentadas sobre políticas o responder con mayor diligencia a las amenazas de seguridad potenciales.



• App-Scope: App-Scope complementa la vista de tráfico actual presentada por ACC con una ventana dinámica y personalizable de la actividad de la red que permite a los administradores localizar con exactitud comportamientos problemáticos o erráticos con una vista de lo que ha ocurrido a lo largo de un periodo de tiempo.
• Generación de registros e informes: el visualizador de registros permite la investigación forense de cada sesión que recorre la red con el filtrado en tiempo real y expresiones regulares. Los informes predefinidos, programables y personalizables por completo ofrecen vistas detalladas de las aplicaciones, los usuarios y las amenazas existentes en la red.
• Gestión: la gestión del firewall de Palo Alto Networks puede realizarse mediante una interfaz de línea de comandos (Command Line Interface, CLI), una interfaz basada en Internet o una solución de gestión centralizada (Panorama). En aquellos entornos en los que existan distintos miembros de la plantilla que precisen diferentes niveles de acceso a la interfaz de gestión, la administración basada en funciones de los tres mecanismos de gestión permite la delegación de funciones administrativas al individuo adecuado. Otras interfaces de gestión complementarias son las interfaces syslog basadas en los estándares y las interfaces SNMP.

Controles basados en políticas que permiten el uso de la aplicación adecuada

El aumento de visibilidad en la actividad de la red gracias a App-ID, User-ID y Content-ID puede contribuir a simplificar la tarea de determinar qué aplicaciones recorren la red, quién las utiliza, el riesgo potencial de seguridad y determinar fácilmente la respuesta adecuada. Con estos puntos de datos, los administradores pueden aplicar políticas con un rango de respuestas más detallado que va más allá de las simples opciones de permitir o denegar. Entre las respuestas de control de política se incluyen:

• Permitir o denegar
• Permitir pero explorar
• Permitir según el programa
• Descodificar e inspeccionar
• Aplicar catalogación de tráfico
• Cualquier combinación
• Permitir determinadas funciones de la aplicación
• Permitir a determinados usuarios o grupos

Al utilizar un editor de políticas con un aspecto familiar, los administradores de firewalls pueden crear de forma rápida políticas de cortafuegos flexibles tales como:

• Asignar Salesforce.com y Oracle a los grupos de ventas y marketing aprovechando la integración con Active Directory.
• Permitir sólo al grupo de TI el uso de un conjunto establecido de aplicaciones de gestión, como SSH, Telnet y RDP.
• Bloquear aplicaciones maliciosas como el uso compartido de archivos P2P, circumventors y proxies externos.
• Definir e imponer una política corporativa que permita e inspeccione el uso específico de webmail y mensajería instantánea.
• Controlar las funciones de transferencia de archivos de cada aplicación, permitiendo el uso de la aplicación pero vetando la transferencia de archivos.
• Identificar la transferencia de información confidencial, como los números de tarjetas de crédito o de la Seguridad Social, en formato de texto o archivo.
• Desplegar políticas de filtrado de URL multinivel que bloqueen el acceso a páginas obviamente no relacionadas con el trabajo, supervisar las páginas cuestionables y “controlarâ€? el acceso a otras.
• Implementar políticas de QoS (Quality of Service o calidad de servicio) que permitan aplicaciones multimedia y otras aplicaciones de uso intensivo del ancho de banda pero que limiten su impacto en aplicaciones empresariales críticas.

Con un cortafuegos de última generación de Palo Alto Networks instalado, los clientes pueden desplegar políticas de modelo de aplicación positiva para bloquear aplicaciones maliciosas, proteger las aplicaciones empresariales y promover el uso seguro de aplicaciones de usuario final, lo que tendrá como resultado un entorno de empleados más positivo.

Identificación de la aplicación e inspección del contenido

La identificación precisa y el control de las aplicaciones que realiza App-ID sólo resuelve parte de los retos de visibilidad y control a los que se enfrentan los departamentos de TI en un entorno tan centrado en Internet como el de nuestros días. Inspeccionar el tráfico de aplicaciones permitidas es el siguiente gran reto, dentro del marco de la prevención de amenazas, el filtrado de URL y los elementos de filtrado de datos relativos al Content-ID.

• Prevención de amenazas: el motor de prevención de amenazas permite detectar y bloquear simultáneamente virus, spyware y vulnerabilidades de aplicaciones de una pasada. La prevención de vulnerabilidad de aplicaciones integra un conjunto de funciones del sistema de prevención de intrusiones (Intrusion Prevention System, IPS) para bloquear exploits de vulnerabilidad, tanto conocidos como desconocidos, en la capa de aplicación y en la red, desbordamientos en la memoria intermedia, ataques DoS y exploraciones de puertos para evitar peligros y daños en los recursos de información empresarial. Entre los mecanismos IPS se encuentran:
  • Detección de anomalías de protocolo
  • Comparación de patrones de estado
  • Detección de anomalías estadísticas
  • Análisis heurístico
  • Bloqueo de paquetes no válidos o malformados
  • Desfragmentación de IP y reensamblaje de TCP

  En el motor de prevención de amenazas, el proceso de exploración comienza tan pronto como el tráfico alcanza el dispositivo con lo que se elimina la necesidad de almacenar en la memoria intermedia o autorizar los archivos para una inspección de amenazas. El resultado es una extraordinaria reducción de la latencia y una mejora del rendimiento.

• Filtrado de URL: una base de datos de filtrado de URL personalizable y totalmente integrada de más de 20 millones de URL divididas en 76 categorías permite a los administradores aplicar políticas granulares de navegación por Internet, complementar la visibilidad de las aplicaciones y las políticas de control, y proteger a la empresa de todo un espectro de riesgos legales, reguladores, de productividad y recursos. La base de datos de URL incluida puede ampliarse para adaptarse a los patrones de tráfico de la comunidad de usuarios local. Si se detecta una URL que no pertenece a ninguna categoría de la base de datos de URL local, el cortafuegos puede solicitar la categoría de una base de datos de URL alojada con más de 180 millones de URL. A continuación, la URL se almacenará localmente en una base de datos de 1 millón de URL dinámicas.
• Filtrado de archivos y datos: aprovechándose por completo del análisis en profundidad que realiza App-ID, el motor de Content-ID permite a los administradores implementar políticas de filtrado de datos para reducir los riesgos asociados a la transferencia no autorizada de archivos y datos. Los archivos basados en el tipo (en contraposición a la observación exclusiva de la extensión del archivo) y los patrones de datos confidenciales (números de tarjetas de crédito y de la Seguridad Social) se pueden detectar y bloquear en función de las políticas.

Mapa de amenazas - Representación geográfica de las amenazas que recorren la red.

Red

Una arquitectura de red flexible que incluye enrutamiento dinámico, switching, alta disponibilidad y compatibilidad con VPN permite el despliegue en casi cualquier entorno de red.

• Virtual wire: une lógicamente dos puertos y pasa todo el tráfico al otro puerto sin switching ni enrutamiento, por lo que la inspección y el control son totales sin afectar a los demás dispositivos.
• IPv6: compatibilidad con la visibilidad completa de aplicaciones, el control, la inspección, la supervisión y la generación de registros para aplicaciones que utilizan IPv6 (sólo en el modo “virtual wireâ€?).
• Switching y enrutado: la compatibilidad con las arquitecturas L2, L3 y el modo mixto, junto con la seguridad basada en zonas, permiten el despliegue en un gran número de entornos de red. Los protocolos de enrutado dinámico (OSPF y RIP) y una compatibilidad total con 802.1Q VLAN están disponibles para L2/L3.
• Alta disponibilidad activa/pasiva: redundancia de hardware con total compatibilidad con la sincronización de configuración y sesión.
• VPN site-to-site: la conectividad de IPSec VPN basada en los estándares, combinada con la visibilidad y el control de las aplicaciones permite proteger la comunicación entre uno o más dispositivos Palo Alto Networks o el dispositivo IPSec VPN de otro proveedor.
• VPN de acceso remoto: VPN por túnel SSL proporciona un acceso de red seguro a usuarios remotos y amplía a estos usuarios la visibilidad y el control basados en políticas de aplicaciones, usuarios y contenidos.
• Calidad de servicio (Quality of Service, QoS): la catalogación del tráfico amplía los controles de política de habilitación positiva para ofrecer a los administradores la posibilidad de permitir aplicaciones de uso intensivo del ancho de banda, tales como las aplicaciones multimedia de flujo continuo, al tiempo que se mantiene el rendimiento de las aplicaciones empresariales. Las políticas de catalogación del tráfico (garantizado, máximo y prioritario) se pueden imponer en función la aplicación, el usuario, el programa, etc. También existe compatibilidad con el marcador diffserv, lo cual permite el control del tráfico de la aplicación mediante un dispositivo de bajada o subida.

Generación de informes y registros

El acceso directo a potentes funciones de generación de informes y registros permite analizar incidentes de seguridad, uso de aplicaciones y patrones de tráfico.

• Generación de informes: los informes predefinidos se pueden utilizar tal como están, o bien pueden personalizarse o agruparse en un solo informe con el fin de adaptarse a los requisitos específicos. Un informe de actividades detallado muestra las aplicaciones utilizadas, las categorías de URL visitadas, las páginas de Internet visitadas y un informe detallado de todas las URL visitadas durante un periodo de tiempo determinado y para un usuario concreto. Todos los informes se pueden exportar a formato CSV o PDF y se pueden enviar por correo electrónico de forma programada.
• Generación de registros: los administradores pueden ver la actividad de las aplicaciones, las amenazas y los usuarios por medio de funciones de filtrado dinámicas, activadas con sólo hacer clic en el valor de una celda o utilizando el generador de expresiones para definir los criterios de filtrado. Los resultados del filtro de registro pueden exportarse a un archivo CSV o enviarse a un servidor syslog para poder archivarlos offline o realizar análisis adicionales.