Firewall generasi seterusnya (NGFW) terbaru menggunakan pemeriksaan paket mendalam untuk mengimbas keseluruhan muatan paket untuk memberikan pencegahan pencerobohan canggih, anti-malware, penapisan kandungan dan anti-spam. Banyak aplikasi dihantar melalui web, berkongsi port biasa dan protokol HTTP atau HTTPS. Ini secara berkesan menjadikan firewall tradisional buta terhadap aplikasi ini dan tidak dapat mengutamakan produktif dan selamat berbanding lalu lintas yang tidak produktif dan berpotensi tidak selamat. Firewall generasi seterusnya memberikan pandangan mengenai aplikasi itu sendiri, memberikan kemampuan kritikal untuk profesional rangkaian.
Mari kita kaji beberapa perkara yang harus dilakukan firewall untuk keselamatan rangkaian anda:
- Kendalikan aplikasi yang dibenarkan di rangkaian - Visualisasi aplikasi membolehkan anda melihat penyemak imbas mana yang digunakan untuk membolehkan pembuatan dasar sesuai.
Sebagai syarikat anda ingin memastikan semua pekerja anda menggunakan Internet Explorer versi terbaru. Misi anda adalah memastikan semua pekerja yang melancarkan IE9 atau IE10 diarahkan secara automatik ke laman muat turun IE11 dan menyekat mereka dari semua akses web lain.
Penyelesaian anda yang mungkin termasuk:
- Periksa secara fizikal setiap sistem setiap hari untuk versi penyemak imbas web
- Tulis skrip khusus untuk memeriksa versi penyemak imbas secara automatik
- Menguruskan lebar jalur untuk aplikasi kritikal- Keutamaan aplikasi boleh berdasarkan tarikh (kira-kira keutamaan suku akhir untuk aplikasi penjualan
Banyak aplikasi kritikal misi, seperti Pertemuan Langsung, Salesforce.com dan SharePoint, berasaskan awan atau dijalankan di rangkaian yang tersebar secara geografi. Memastikan aplikasi ini mempunyai keutamaan berbanding melayari web yang tidak produktif meningkatkan produktiviti perniagaan.
Buat dasar untuk memberi keutamaan lebar jalur pada aplikasi Mesyuarat Langsung:
- Enjin Deep Packet Inspection mencari tandatangan aplikasi atau nama aplikasi
- Tetapkan keutamaan lebar jalur aplikasi yang lebih tinggi
- Sekat aplikasi rakan sebaya
Aplikasi peer-to-peer (P2P) yang tidak produktif seperti BitTorrent sering digunakan untuk memuat turun versi media berhak cipta yang tidak berlesen dan dapat menggunakan lebar jalur atau menyebarkan perisian hasad dengan cepat. Walau bagaimanapun, penciptaan aplikasi P2P baru, atau perubahan sederhana (misalnya, nombor versi) pada aplikasi P2P yang ada berlaku sepanjang masa sehingga sukar untuk menyekat aplikasi P2P tunggal secara manual. Buat dasar untuk menyekat penggunaan aplikasi P2P:
- Enjin Deep Packet Inspection menggunakan tandatangan aplikasi P2P yang telah ditentukan dari senarai tandatangan aplikasi
- Pilih aplikasi P2P dari senarai tandatangan yang telah ditentukan
- Terapkan polisi untuk semua pengguna
- Sekat aplikasi P2P melalui lebar jalur dan sekatan berdasarkan masa
- Sekat komponen aplikasi yang tidak produktif
Aplikasi rangkaian sosial seperti Facebook, Instagram dan YouTube telah menjadi saluran komunikasi baru untuk individu dan syarikat. Walaupun mungkin tidak produktif untuk menyekat semua aplikasi rangkaian sosial, anda mungkin ingin mengawal bagaimana aplikasi tersebut dapat digunakan di tempat kerja. Sebagai contoh, anda mungkin mahu membiarkan pegawai pemasaran mengemas kini halaman Facebook syarikat, tetapi tidak membenarkan mereka bermain permainan Facebook seperti Texas HoldEm Poker atau Candy Crush Saga. Dengan kepintaran dan kawalan aplikasi, anda boleh membuat dasar untuk membenarkan akses ke Facebook, tetapi menyekat permainan.
Buat dasar untuk membenarkan Facebook, tetapi sekat permainan Facebook:
- Pilih pengguna "Semua"
- Pilih "aplikasi permainan Facebook" sebagai kategori
- Buat satu peraturan untuk "Sekat" semua pengguna dari mengakses permainan dalam Facebook
- Bayangkan lalu lintas aplikasi anda - Visualisasi memberi maklum balas segera kepada pentadbir mengenai aliran lalu lintas rangkaian
Apa yang berlaku di rangkaian saya? Siapa yang membuang lebar jalur saya? Mengapa rangkaian saya begitu perlahan? Adakah anda pernah bertanya kepada diri anda tentang soalan-soalan ini? Anda boleh menggunakan kombinasi alat yang berasingan untuk mendapatkan jawapan, tetapi proses ini memakan masa dan hanya akan memberi anda maklumat setelah fakta.
Lihat semua trafik dalam masa nyata dengan masuk ke Monitor Aliran Aplikasi:
- Lihat grafik masa nyata semua trafik aplikasi
- Lihat grafik masa nyata masuk dan lebar jalur keluar
- Lihat grafik masa nyata laman web yang dikunjungi dan semua aktiviti pengguna
- Buat penapisan anda sendiri yang memberi anda maklumat yang paling relevan
- Urus lebar jalur untuk sekumpulan pengguna
Apa yang anda lakukan sekiranya Ketua Pegawai Eksekutif anda mengadu bahawa video berita perniagaan yang ingin ditontonnya setiap pagi berombak dan tidak akan dimainkan dengan betul? Selepas siasatan, anda menentukan bahawa ini disebabkan oleh dasar pengurusan lebar jalur seluruh syarikat yang anda laksanakan untuk semua streaming video? Anda dapat mengurangkan sekatan lebar jalur untuk semua orang, tetapi sekarang ada jawapan yang lebih baik: pengurusan lebar jalur berdasarkan kumpulan.
Buat dasar untuk mengecualikan pasukan eksekutif daripada pengurusan streaming lebar jalur video:
- Pilih kumpulan eksekutif yang diimport dari pelayan LDAP anda
- Enjin Deep Packet Inspection menggunakan tandatangan aplikasi streaming video yang telah ditentukan dari senarai tandatangan aplikasi
- Gunakan sekatan lebar jalur pada trafik dengan tajuk tersebut
- Sekat serangan dan pelanggaran ransomware- Sekat serangan dan pencerobohan malware sebelum mereka memasuki rangkaian anda!
Keselamatan rangkaian mesti berada di barisan hadapan fokus pentadbir IT. Keupayaan untuk menyekat serangan seperti ransomware dan pelanggaran yang dihantar melalui perisian hasad dan pencerobohan melegakan organisasi dari risiko besar dan mengosongkan sumber daya yang berpotensi terbuang.
- Kenal pasti hubungan mengikut negara
Adakah sambungan ke IP di negara asing dari pejabat kejiranan tempatan atau laman web cawangan hanya merupakan sambungan yang baik dari seseorang yang melayari di web, atau apakah itu aktiviti botnet? Anda boleh menggunakan pengenalpastian lalu lintas negara GeoIP untuk mengenal pasti dan mengawal lalu lintas rangkaian yang menuju atau datang dari negara tertentu untuk melindungi dari serangan dari asal-usul aktiviti ancaman yang diketahui atau disyaki, atau untuk menyiasat lalu lintas yang mencurigakan yang berasal dari rangkaian.
Lihat sambungan mengikut negara atau buat penapis khusus negara:
- Periksa aplikasi mana yang menghubungkan ke IP di negara lain
- Lihat pengguna mana dan komputer mana yang menghubungkan ke IP negara lain
- Buat penapis untuk mengehadkan lalu lintas ke negara yang ditentukan oleh anda, dengan senarai pengecualian
- Cegah kebocoran data melalui e-mel
Di beberapa syarikat, e-mel keluar tidak melalui sistem keselamatan e-mel mereka, atau sistem itu tidak memeriksa kandungan lampiran e-mel. Dalam kedua-dua kes, lampiran "syarikat rahsia" dapat meninggalkan organisasi dengan mudah. Oleh kerana lalu lintas rangkaian keluar melalui firewall anda, anda dapat mengesan dan menyekat "data-in-motion" ini. Buat dasar untuk menyekat lampiran e-mel yang mengandungi tanda air "rahsia syarikat"
Enjin Deep Packet Inspection mencari:
- Kandungan e-mel = "Kerahsiaan syarikat" dan
- Kandungan e-mel = "Syarikat milik" dan
- Kandungan e-mel = "Hak milik peribadi", dll.
- Mencegah kebocoran data melalui mel web
Sekarang anggap perlindungan anti-spam anda yang ada dapat mengesan dan menyekat e-mel keluar biasa yang mengandungi maklumat "rahsia syarikat". Tetapi bagaimana jika pekerja menggunakan perkhidmatan mel web, seperti Yahoo atau Gmail, untuk menghantar maklumat "Rahsia Syarikat"?
Buat dasar untuk menyekat lampiran "rahsia syarikat" dalam trafik web:
- Enjin Deep Packet Inspection mencari "kerahsiaan syarikat" pada fail yang dipindahkan melalui http atau https
- Sekat mesej dan beritahu pengirim bahawa mesej itu adalah "rahsia syarikat
- Lebar jalur menguruskan streaming audio dan video
Akses untuk streaming video dari laman web seperti YouTube.com kadang-kadang berguna tetapi sering disalahgunakan. Menyekat laman web ini mungkin berfungsi, tetapi pendekatan yang lebih baik adalah membatasi lebar jalur keseluruhan yang diberikan untuk streaming video, tidak kira dari mana asalnya. Ini juga berlaku untuk streaming laman web audio seperti stesen radio muzik dalam talian dan perkhidmatan streaming muzik seperti Spotify dan Apple Music. Trafik ini tidak semestinya berasal dari laman web terkenal tetapi juga boleh dihoskan oleh blog. Oleh itu, tujuannya adalah untuk mengenal pasti lalu lintas ini mengikut keadaannya, dan bukan dari asalnya.
Buat dasar untuk mengehadkan streaming audio dan streaming video mengikut senarai tandatangan yang telah ditentukan
- Pilih Streaming Video dan Streaming Audio sebagai kategori aplikasi
- Tetapkan jumlah lebar jalur yang anda ingin peruntukkan untuk kategori aplikasi ini (mis., 10%)
- Buat peraturan yang menegakkan Streaming Video dan Streaming Audio untuk menggunakan maksimum 10% lebar jalur untuk semua orang (mungkin tidak termasuk kumpulan jabatan tertentu, seperti yang ada dalam kumpulan latihan)
- Sebagai pilihan, jadilah peraturan agar berkesan pada waktu perniagaan standard, tetapi tidak pada waktu makan tengah hari atau selepas jam 6 petang
- Sahkan keberkesanan dasar baru anda dengan visualisasi masa nyata dengan masuk ke Monitor Aliran Aplikasi.
