Firewall de Próxima Geração Palo Alto: Conceitos de Configuração, de Zonas às Políticas de Segurança

O firewall de próxima geração (NGFW) da Palo Alto Networks faz mais do que abrir e fechar portas. Ele identifica a aplicação por trás de uma conexão, o usuário que a iniciou e o conteúdo transmitido, e então aplica uma política para cada um. Este artigo explica a configuração na ordem em que você vai encontrá-la: planejamento da rede, primeiro acesso, interfaces e zonas, políticas de segurança, NAT, perfis de segurança, descriptografia, acesso remoto e monitoramento. Cada seção tem um diagrama ou uma lista de verificação, para que você possa acompanhar o projeto antes de tocar no equipamento.

O que você precisa

Você deve entender endereçamento IP básico e sub-redes, além das funções de roteador e switch. Ajuda ter lido os artigos de nível CCNA deste site. Para praticar, você precisa de um equipamento de laboratório ou de teste, ou pelo menos de um simulador ou imagem de laboratório Palo Alto fornecido pelo fabricante. Trabalhe apenas em equipamentos que você possui ou está autorizado a configurar, e nunca altere um firewall de produção sem um plano por escrito e um caminho de reversão.

Ilustração

Tópico 1: O que o firewall de próxima geração faz

Um firewall tradicional decide com base no endereço IP de origem e destino e no número da porta. Isso já não basta, porque muitas aplicações, como navegadores web e chamadas de vídeo, usam a porta 443 ou outras portas comuns. O NGFW analisa o próprio tráfego e decide com base no que ele é, quem o envia e o que transporta.

Firewall tradicional versus NGFW

Um firewall sem estado ou baseado em portas permitiria todo o tráfego na porta 443. O NGFW pode permitir navegação para um site de notícias e bloquear um aplicativo de compartilhamento de arquivos que também usa a porta 443. Isso é possível porque ele identifica a aplicação na camada 7, em vez de confiar apenas no número da porta.

Três identidades: App-ID, User-ID, Content-ID

O App-ID identifica a aplicação, por exemplo um determinado aplicativo de chamadas de vídeo, mesmo quando ele se esconde dentro de HTTPS. O User-ID associa um endereço IP a um usuário ou grupo de diretório, então uma regra pode dizer "grupo de vendas" em vez de uma faixa de IPs. O Content-ID inspeciona a carga útil em busca de ameaças, arquivos maliciosos, vazamento de dados e categorias de URL.

Posição na rede

O firewall costuma ficar entre o roteador da internet e a rede interna. Todo pacote que atravessa entre zonas passa por ele. Colocá-lo no lugar errado, por exemplo atrás de um equipamento NAT que oculta a origem real, torna o User-ID e os logs muito menos úteis.

Tópico 2: Planejando a configuração antes de configurar

A maioria dos problemas de firewall vem de um projeto pouco claro, não do equipamento. Antes de abrir a interface web, escreva a rede que você está protegendo, o tráfego que quer permitir e a ordem em que vai construir tudo.

Desenhe o conceito

Desenhe o link da internet, o firewall, a LAN interna e a DMZ com servidores públicos. Identifique cada interface com sua zona e seu endereço IP. Um diagrama simples como esse é o documento mais útil de todo o projeto, porque mostra onde cada regra deve estar.

Escreva o plano de IPs e zonas

Para cada interface, anote a zona (por exemplo untrust, trust, dmz), o endereço IP e a máscara, o gateway padrão e a finalidade. Guarde o plano em um único documento. Mudar um endereço depois fica muito mais fácil quando você sabe quais regras e entradas de NAT dependem dele.

Liste o tráfego necessário

Escreva cada fluxo necessário em linguagem comum: "a equipe pode acessar a internet por web e HTTPS", "a internet pode acessar o servidor web apenas por HTTPS", "o escritório filial se conecta à matriz por VPN". Cada frase vira uma regra de segurança, e tudo que não estiver na lista será bloqueado.

Planeje a reversão

Antes da primeira alteração, salve uma cópia da configuração e anote como restaurá-la. Planeje uma janela de manutenção para mudanças que afetem o tráfego ativo, e avise os usuários que serão afetados.

Tópico 3: Primeiro acesso e configuração inicial

Um firewall novo precisa de um endereço de gerenciamento, uma conta de administrador segura e licenças e atualizações de conteúdo antes de proteger qualquer coisa. Os nomes exatos dos menus variam entre versões do PAN-OS, então consulte a documentação da sua versão.

Conecte-se à interface de gerenciamento

Conecte o computador à porta de gerenciamento com um cabo e dê a ele um endereço na mesma rede da interface de gerenciamento. Abra a interface web no endereço indicado no guia do fabricante. Use a conta padrão apenas uma vez, depois troque a senha imediatamente e crie uma conta de administrador nominal para cada pessoa.

Defina nome do equipamento, horário e DNS

Dê ao equipamento um nome claro, por exemplo fw-hq-01. Configure o fuso horário correto e um servidor NTP, porque os logs e os certificados dependem de horário preciso. Configure os servidores DNS para que o equipamento possa verificar atualizações e resolver nomes.

Licenças, atualizações e conteúdo

Ative as licenças de assinatura que você comprou, depois baixe a versão mais recente do software e as atualizações dos bancos de dados de ameaças, aplicações e URLs. Instale na ordem recomendada pelo fabricante, e leia as notas de versão. Um banco de dados de ameaças desatualizado é uma causa comum de ataques que passam despercebidos.

Limite quem pode gerenciar o firewall

Permita o acesso de gerenciamento apenas a partir de uma sub-rede de administração específica, e desative o gerenciamento em interfaces voltadas para a internet. Use autenticação forte e, quando possível, um diretório externo ou um segundo fator para o login de administrador.

Configuração do equipamento: endereço de gerenciamento, horário e conta de administrador

Dê um nome ao firewall, defina o endereço de gerenciamento e o gateway, os servidores DNS e NTP e o fuso horário. Permita o gerenciamento apenas a partir da sub-rede de administração, crie um superusuário nominal e faça o commit com uma descrição. Depois verifique as informações do sistema e baixe as atualizações de conteúdo mais recentes.

# CLI PAN-OS: primeiro acesso, configuração de gerenciamento e atualizações
configure
set deviceconfig system hostname fw-hq-01
set deviceconfig system ip-address 192.168.1.10 netmask 255.255.255.0 default-gateway 192.168.1.1
set deviceconfig system dns-setting servers primary 8.8.8.8
set deviceconfig system timezone Asia/Bangkok
set deviceconfig system ntp-servers primary-ntp-server ntp-server-addr pool.ntp.org
set deviceconfig system permitted-ip 192.168.1.0/24
set mgt-config users netadmin permissionrole superuser
set mgt-config users netadmin password
commit description "initial setup"
exit
# Modo operacional: verificar e atualizar o conteúdo
show system info
request content upgrade check
request content upgrade download latest
request content upgrade install version latest

Tópico 4: Interfaces, zonas e roteamento

Uma interface é uma porta física com endereço. Uma zona é um grupo nomeado de interfaces que têm o mesmo nível de confiança. As políticas de segurança são escritas entre zonas, não entre interfaces, por isso a zona é a decisão de projeto mais importante do firewall.

Interfaces de camada 3

Dê a cada porta de dados um endereço IP, uma máscara e um roteador virtual, e então atribua essa porta a uma zona. O roteador virtual guarda a tabela de roteamento das interfaces que pertencem a ele. Uma configuração pequena normalmente precisa de apenas um roteador virtual.

Zonas padrão

Um projeto comum usa três zonas. A zona untrust fica voltada para a internet e é tratada como hostil. A zona trust contém os usuários internos e é tratada como segura, mas não totalmente confiável. A DMZ contém servidores públicos que precisam ser acessados pela internet, e é separada para que um servidor comprometido não consiga alcançar livremente a zona trust.

Roteamento para a internet e de volta

Configure uma rota padrão para o roteador da internet, e adicione rotas estáticas ou um protocolo dinâmico para as redes internas que ficam atrás de outros roteadores. Garanta que o tráfego de resposta tenha uma rota de volta, porque o firewall descarta o tráfego que não consegue rotear. Um teste rápido com ping de cada zona mostra se o roteamento está correto antes de adicionar qualquer política.

Proteção de zona

Cada zona pode ter configurações de proteção, como limites contra inundação e varredura, que bloqueiam ataques comuns antes de a política ser verificada. Ative primeiro na zona untrust, e monitore os logs em busca de falsos positivos antes de torná-la mais rigorosa.

Configuração do equipamento: interfaces, zonas e rota padrão

Atribua endereços a cada porta de dados, coloque cada porta em sua zona e adicione todas as portas ao roteador virtual. A rota padrão envia o tráfego da internet para o gateway do provedor. Use show routing route e ping para verificar as rotas antes de escrever qualquer regra de segurança.

# CLI PAN-OS: interfaces, zonas, roteador virtual e rota padrão
configure
set network interface ethernet ethernet1/1 layer3 ip 203.0.113.2/30
set network interface ethernet ethernet1/2 layer3 ip 10.10.10.1/24
set network interface ethernet ethernet1/3 layer3 ip 172.16.10.1/24
set zone untrust network layer3 ethernet1/1
set zone trust network layer3 ethernet1/2
set zone dmz network layer3 ethernet1/3
set network virtual-router default interface [ ethernet1/1 ethernet1/2 ethernet1/3 ]
set network virtual-router default routing-table ip static-route default-route destination 0.0.0.0/0 nexthop ip-address 203.0.113.1
commit
exit
# Modo operacional: verificar interfaces e rotas
show interface all
show routing route
ping source 10.10.10.1 host 8.8.8.8

Tópico 5: Políticas de segurança: regras, ordem e negação padrão

A política de segurança é uma lista de regras em sequência. Cada regra combina zona de origem, zona de destino, endereço ou usuário de origem e de destino, aplicação ou serviço, e então permite ou nega o tráfego. As regras são lidas de cima para baixo, e a primeira correspondência é a que vale.

Campos importantes da regra

Uma regra tem um nome, zona de origem e de destino, endereços de origem e de destino, usuário, aplicação, serviço (porta) e uma ação, como allow ou deny. Use aplicação em vez de porta sempre que possível. Uma regra que diz "navegação web" é mais clara e mais segura do que uma regra que diz "TCP porta 80 e 443".

Ordem das regras e regras padrão

Coloque as regras mais específicas no topo e as mais amplas embaixo. O PAN-OS inclui regras padrão no final: o padrão intrazone, que permite tráfego dentro de uma mesma zona, e o padrão interzone, que nega tráfego entre zonas. Como o padrão interzone nega, você precisa adicionar um allow explícito para cada fluxo que deseja permitir entre zonas.

Comece restrito e amplie com evidências

Comece com regras que negam e registram, verifique os logs para ver o que é realmente usado, e então escreva regras de allow apenas para os fluxos que você confirmou. Isso evita o erro comum de permitir demais porque uma regra foi copiada de outro lugar.

Perfis no tráfego permitido

Uma regra de allow pode incluir perfis de segurança, como antivírus e prevenção de ameaças, para o tráfego que ela permite. Permitir um fluxo sem perfil significa que o firewall identifica a aplicação, mas não inspeciona o conteúdo. Ative perfis para qualquer tráfego que transporte arquivos ou conteúdo web.

Configuração do equipamento: escrever regras de segurança e negação padrão

A primeira regra permite que o escritório navegue na web e registra cada sessão. A segunda permite que usuários da internet alcancem o servidor web da DMZ pelo endereço privado, após o NAT. A regra padrão interzone nega todo o resto entre zonas. Mova as regras mais específicas para o topo e use o teste de correspondência de política para confirmar.

# CLI PAN-OS: regras de segurança (a ordem importa; a primeira correspondência vence)
configure
set rulebase security rules allow-web-out from trust to untrust source 10.10.10.0/24 destination any application [ web-browsing ssl ] service application-default action allow log-end yes
set rulebase security rules allow-web-to-dmz from untrust to dmz source any destination 172.16.10.10 application web-browsing service application-default action allow log-end yes
set rulebase default-security-rules rules interzone-default log-end yes
move rulebase security rules allow-web-out top
commit
exit
# Modo operacional: verificar qual regra corresponde a um fluxo
test security-policy-match from trust to untrust source 10.10.10.20 destination 8.8.8.8 protocol 6 destination-port 443

Tópico 6: NAT: traduzindo endereços

O NAT altera os endereços de origem ou de destino do tráfego à medida que ele passa pelo firewall. Usuários que saem para a internet normalmente precisam de source NAT para compartilhar um endereço público. Servidores na DMZ normalmente precisam de destination NAT para que usuários externos os alcancem por um endereço público.

Source NAT para o escritório

O dynamic source NAT, muitas vezes chamado de dynamic IP and port, permite que muitos hosts internos compartilhem o endereço público da interface untrust. Crie uma regra de NAT da zona trust para a zona untrust, e confirme que a política de segurança permite o tráfego.

Destination NAT para servidores públicos

O destination NAT mapeia um endereço IP público e uma porta para o endereço privado de um servidor. Por exemplo, o endereço público 203.0.113.10 porta 443 pode ser mapeado para o servidor web na DMZ, no seu endereço privado. A política de segurança precisa permitir o tráfego para o endereço privado depois da tradução, e isso costuma ser fonte de confusão.

Confira a ordem e teste

NAT e política de segurança afetam o mesmo fluxo, então consulte a documentação da sua versão para a ordem de avaliação. Depois de cada mudança de NAT, teste a partir de clientes reais dos dois lados, e confira os logs de tráfego para ver os endereços originais e os traduzidos.

Configuração do equipamento: source NAT e destination NAT

A regra de saída traduz os endereços do escritório para o endereço da interface externa. A regra do servidor web mapeia o endereço público 203.0.113.10 porta 443 para o servidor da DMZ. As regras de segurança acima precisam permitir o tráfego para o endereço privado, porque a política é verificada depois da tradução.

# CLI PAN-OS: source NAT para o escritório e destination NAT para o servidor web da DMZ
configure
set rulebase nat rules outbound-to-internet from trust to untrust source any destination any service any nat-type ipv4 to-interface ethernet1/1 source-translation dynamic-ip-and-port interface-address interface ethernet1/1
set rulebase nat rules web-server-dnat from untrust to untrust source any destination 203.0.113.10 service service-https nat-type ipv4 to-interface ethernet1/1 destination-translation translated-address 172.16.10.10 translated-port 443
commit
exit
# Modo operacional: verificar sessões e endereços traduzidos
show session all filter destination 203.0.113.10

Tópico 7: Prevenção de ameaças, filtro de URL e descriptografia

Os perfis de segurança e a descriptografia são onde o NGFW vai além de endereços e portas. Os dois inspecionam o que está dentro da conexão, mas também exigem planejamento cuidadoso para que o tráfego legítimo não seja quebrado.

Principais perfis de segurança

O antivírus verifica arquivos em busca de malware conhecido. O anti-spyware bloqueia o tráfego de comando e controle de hosts infectados. A proteção contra vulnerabilidades bloqueia tentativas de explorar falhas conhecidas. O filtro de URL bloqueia ou alerta sobre categorias de sites. O bloqueio de arquivos interrompe certos tipos de arquivo para que não possam ser baixados ou enviados. Comece com os perfis padrão ou com as práticas recomendadas, e depois ajuste com base nos logs.

Descriptografia: inspecionando tráfego criptografado

A maior parte do tráfego web é criptografada com TLS, e o firewall não consegue inspecionar o que não consegue ler. A descriptografia permite que o firewall atue como um intermediário confiável, apresentando seu próprio certificado ao cliente, o que exige que o cliente confie na autoridade certificadora do firewall. A descriptografia levanta questões de privacidade e legais, então decida com os responsáveis pela rede quais tráfegos serão descriptografados, e documente a decisão. Alguns tráfegos, como serviços bancários e de saúde, costumam ser excluídos.

Configuração de certificados e confiança

Para a descriptografia, o firewall precisa de um certificado forward-trust confiável pelos clientes internos, e precisa lidar com aplicações que fixam certificados e recusam certificados substitutos. Teste cada nova regra de descriptografia com clientes que você controla, e mantenha uma lista de exceções para as aplicações que quebrarem.

Tópico 8: VPN de acesso remoto e alta disponibilidade

Essas duas funções aparecem com frequência em configurações reais. O acesso remoto permite que a equipe se conecte de casa ou durante viagens, e a alta disponibilidade mantém a rede funcionando quando um dos firewalls falha.

Conceito de VPN GlobalProtect

O GlobalProtect é a VPN de acesso remoto dos firewalls Palo Alto. O portal informa ao cliente qual gateway usar, e o gateway estabelece o túnel criptografado. Depois de conectado, o usuário fica em uma zona de segurança com as mesmas políticas do escritório, e o User-ID pode associar a sessão a um usuário do diretório. Planeje um pool de IPs para os clientes remotos que não se sobreponha à rede interna.

VPN site-to-site

Um túnel IPsec site-to-site conecta dois escritórios. Os dois lados precisam de configurações compatíveis de fase 1 e fase 2, da mesma chave pré-compartilhada ou certificado, e de rotas ou proxy IDs que cubram as redes corretas. Um túnel ativo que não encaminha tráfego quase sempre tem um problema de roteamento ou de política em um dos lados.

Alta disponibilidade

Um par de firewalls pode operar no modo ativo-passivo, em que o standby assume se a unidade ativa falhar, ou no modo ativo-ativo, em que os dois processam tráfego. As duas unidades sincronizam a configuração e a tabela de sessões por um link dedicado. Teste o failover em uma janela de tempo com os responsáveis do negócio avisados, porque um par mal configurado pode causar interrupções que não aconteceriam com um único firewall.

Tópico 9: Commit, logs e solução de problemas

O firewall tem uma configuração candidata, que você edita, e uma configuração em execução, que está ativa. Nenhuma alteração afeta o tráfego até você fazer o commit. Os logs e as ferramentas integradas mostram depois se a mudança funcionou.

Candidata, em execução e commit

As mudanças são gravadas na configuração candidata. O commit as torna ativas, e você pode visualizar as alterações antes do commit. Salve uma configuração com nome antes de uma mudança grande, para poder voltar a ela se algo der errado. Faça o commit com uma descrição clara, para que o log de auditoria explique cada mudança.

Logs de tráfego e de ameaças

O log de tráfego mostra cada sessão com origem, destino, aplicação, usuário, nome da regra e ação. O log de ameaças mostra correspondências com os perfis de segurança. Quando um usuário diz que um site está bloqueado, procure o IP dele no log de tráfego, encontre a regra que correspondeu e verifique se foi a regra, o perfil ou a categoria de URL que causou o bloqueio.

Ordem de solução de problemas

Siga a mesma ordem do percurso do tráfego: o link está ativo, a rota existe, o NAT está correto, a regra de segurança corresponde e o perfil o bloqueia? Os comandos de teste na CLI podem mostrar qual regra corresponderá a um fluxo, e a captura de pacotes mostra o que sai e entra em cada interface.

Monitoramento e relatórios

Use painéis, relatórios agendados e alertas para ameaças críticas, túneis VPN que falham e erros de interface. Revise os logs regularmente, e não apenas quando algo quebra, porque a maioria dos ataques aparece nos logs antes de causar dano.

Configuração do equipamento: revisar, salvar e reverter com segurança

Mostre as diferenças pendentes antes do commit, salve a versão com nome e faça o commit com uma descrição que apareça no log de auditoria. Se a mudança afetar o tráfego, carregue a versão salva e faça o commit novamente. Leia o log de tráfego para confirmar o que a regra permitiu e negou.

# CLI PAN-OS: revisar mudanças, salvar configuração com nome, fazer commit com descrição, reverter
configure
show config diff
save config to before-web-change
commit description "allow web from office, NAT for the DMZ web server"
exit
# Mais tarde, se a mudança causar problemas: carregar a versão salva, verificar e fazer commit
configure
load config from before-web-change
commit description "rollback: web change"
exit
# Modo operacional: ler os logs
show log traffic

Prática em laboratório

A habilidade com firewall vem da prática, então monte um pequeno laboratório com três redes: o lado da internet, a LAN do escritório e uma DMZ com um servidor web. Use a imagem de laboratório ou o simulador do fabricante, se disponível, e siga estes passos em ordem.

1. Desenhe o conceito e escreva o plano de IPs e zonas para as três redes.

2. Configure o acesso de gerenciamento, troque as senhas padrão e crie uma conta de administrador nominal.

3. Configure as três interfaces, atribua cada uma à sua zona e adicione uma rota padrão e rotas para as redes internas.

4. Verifique a conectividade com ping a partir de cada zona antes de adicionar qualquer política de segurança.

5. Adicione uma regra de segurança que permita ao escritório acessar a internet pelo tráfego web, com negação padrão para o resto.

6. Adicione um destination NAT para que o servidor web da DMZ possa ser alcançado pelo lado untrust, e adicione a regra de segurança correspondente.

7. Anexe perfis de prevenção de ameaças às regras permitidas, depois verifique os logs para correspondências.

8. Faça o commit, teste cada fluxo e volte para a configuração salva para confirmar que a reversão funciona.

Próximos passos

Depois da configuração, pratique a solução de problemas baseada em políticas até conseguir encontrar um fluxo bloqueado em minutos. Em seguida estude GlobalProtect e VPN site-to-site, e depois alta disponibilidade. Registre as alterações de cada commit. A maioria das interrupções vem de mudanças sem registro, e não de uma única regra ruim.

Resumo

O NGFW da Palo Alto identifica aplicações, usuários e conteúdo, não apenas portas e endereços. Uma boa configuração começa com um diagrama conceitual, um plano de zonas e IPs e a lista de fluxos necessários. Depois vêm o gerenciamento, as interfaces e as zonas, as regras de segurança em sequência com um allow explícito para cada fluxo, o NAT para saída e servidores públicos, e os perfis para inspeção. Faça o commit com intenção, leia os logs e guarde um plano de reversão.