ไฟร์วอลล์รุ่นต่อไปล่าสุด (NGFW) ใช้การตรวจสอบแพ็คเก็ตในเชิงลึกเพื่อสแกนเพย์โหลดของแพ็คเก็ตทั้งหมดเพื่อป้องกันการบุกรุกขั้นสูง การป้องกันมัลแวร์ การกรองเนื้อหา และการป้องกันสแปม แอปพลิเคชันจำนวนมากถูกส่งผ่านเว็บ แชร์พอร์ตทั่วไปและโปรโตคอล HTTP หรือ HTTPS วิธีนี้ทำให้ไฟร์วอลล์แบบเดิมมองไม่เห็นแอปพลิเคชันเหล่านี้ และไม่สามารถจัดลำดับความสำคัญของการรับส่งข้อมูลที่มีประสิทธิผลและปลอดภัยกับการรับส่งข้อมูลที่ไม่ก่อผลและอาจไม่ปลอดภัย ไฟร์วอลล์รุ่นต่อไปให้ข้อมูลเชิงลึกเกี่ยวกับแอปพลิเคชัน โดยมอบความสามารถที่สำคัญสำหรับมืออาชีพด้านเครือข่าย
ให้เราตรวจสอบบางสิ่งที่ไฟร์วอลล์ควรทำเพื่อความปลอดภัยของเครือข่ายของคุณ:
- ควบคุมแอปพลิเคชันที่อนุญาตบนเครือข่าย - การแสดงภาพแอปพลิเคชันช่วยให้คุณเห็นว่าเบราว์เซอร์ใดบ้างที่ใช้เพื่อเปิดใช้งานการกำหนดนโยบายตามนั้น
ในฐานะบริษัท คุณต้องการให้แน่ใจว่าพนักงานทุกคนของคุณใช้ Internet Explorer เวอร์ชันล่าสุด ภารกิจของคุณคือทำให้แน่ใจว่าพนักงานทุกคนที่เปิดตัว IE9 หรือ IE10 จะถูกเปลี่ยนเส้นทางไปยังไซต์ดาวน์โหลด IE11 โดยอัตโนมัติ และจำกัดพวกเขาจากการเข้าถึงเว็บอื่นๆ ทั้งหมด
วิธีแก้ปัญหาที่เป็นไปได้ของคุณอาจรวมถึง:
- ตรวจสอบทุกระบบในแต่ละวันสำหรับเวอร์ชันของเว็บเบราว์เซอร์
- เขียนสคริปต์ที่กำหนดเองเพื่อตรวจสอบเวอร์ชันของเบราว์เซอร์โดยอัตโนมัติ
- จัดการแบนด์วิดธ์สำหรับแอปพลิเคชันที่สำคัญ - ลำดับความสำคัญของแอปพลิเคชันสามารถเป็นแบบตามวันที่ (คิดว่าลำดับความสำคัญปลายไตรมาสสำหรับแอปพลิเคชันการขาย
แอปพลิเคชันที่สำคัญต่อภารกิจมากมาย เช่น Live Meeting, Salesforce.com และ SharePoint ทำงานบนคลาวด์หรือทำงานบนเครือข่ายที่กระจายตัวตามภูมิศาสตร์ ตรวจสอบให้แน่ใจว่าแอปพลิเคชันเหล่านี้มีความสำคัญมากกว่าการท่องเว็บที่ไม่ก่อผลจะช่วยปรับปรุงประสิทธิภาพทางธุรกิจ
สร้างนโยบายเพื่อให้ลำดับความสำคัญของแบนด์วิดท์กับแอปพลิเคชัน Live Meeting:
- เอ็นจิ้น Deep Packet Inspection ค้นหาลายเซ็นแอปพลิเคชันหรือชื่อแอปพลิเคชัน
- กำหนดลำดับความสำคัญของแบนด์วิดท์ที่สูงกว่าให้แอปพลิเคชัน Live Meeting
- บล็อกแอปพลิเคชันเพียร์ทูเพียร์
แอปพลิเคชันแบบเพียร์ทูเพียร์ (P2P) ที่ไม่ก่อผล เช่น BitTorrent มักใช้เพื่อดาวน์โหลดสื่อที่มีลิขสิทธิ์เวอร์ชันที่ไม่มีใบอนุญาต และสามารถใช้แบนด์วิดท์หรือส่งมัลแวร์ได้อย่างรวดเร็ว อย่างไรก็ตาม การสร้างแอปพลิเคชัน P2P ใหม่ หรือการเปลี่ยนแปลงง่ายๆ (เช่น หมายเลขเวอร์ชัน) ในแอปพลิเคชัน P2P ที่มีอยู่นั้นเกิดขึ้นตลอดเวลา ดังนั้นจึงเป็นการยากที่จะบล็อกแอปพลิเคชัน P2P เดียวด้วยตนเอง สร้างนโยบายเพื่อบล็อกการใช้แอปพลิเคชัน P2P:
- เอ็นจิ้น Deep Packet Inspection ใช้ลายเซ็นแอปพลิเคชัน P2P ที่กำหนดไว้ล่วงหน้าจากรายการลายเซ็นแอปพลิเคชัน
- เลือกแอปพลิเคชัน P2P จากรายการลายเซ็นที่กำหนดไว้ล่วงหน้า
- ใช้นโยบายกับผู้ใช้ทั้งหมด
- บล็อกแอปพลิเคชัน P2P ผ่านแบนด์วิดท์และข้อจำกัดตามเวลา
- บล็อกส่วนประกอบที่ไม่ก่อผลของแอปพลิเคชัน
แอปพลิเคชันเครือข่ายสังคมออนไลน์ เช่น Facebook, Instagram และ YouTube ได้กลายเป็นช่องทางใหม่ในการสื่อสารสำหรับบุคคลและบริษัท แม้ว่าการบล็อกแอปพลิเคชันเครือข่ายสังคมทั้งหมดอาจเป็นการต่อต้าน แต่คุณอาจต้องการควบคุมวิธีที่สามารถใช้งานได้ในที่ทำงาน ตัวอย่างเช่น คุณอาจต้องการให้เจ้าหน้าที่การตลาดอัปเดตหน้า Facebook ของบริษัท แต่ไม่อนุญาตให้เล่นเกม Facebook เช่น Texas HoldEm Poker หรือ Candy Crush Saga ด้วยระบบอัจฉริยะและการควบคุมแอปพลิเคชัน คุณสามารถสร้างนโยบายเพื่ออนุญาตการเข้าถึง Facebook แต่บล็อกเกม
สร้างนโยบายเพื่ออนุญาต Facebook แต่บล็อกเกม Facebook:
- เลือกผู้ใช้ "ทั้งหมด"
- เลือก “แอปพลิเคชั่นเกม Facebook” เป็นหมวดหมู่
- สร้างกฎเดียวเพื่อ "บล็อก" ผู้ใช้ทั้งหมดไม่ให้เข้าถึงเกมภายใน Facebook
- เห็นภาพปริมาณการใช้งานแอปพลิเคชันของคุณ - การแสดงภาพช่วยให้ผู้ดูแลระบบได้รับคำติชมทันทีเกี่ยวกับกระแสการรับส่งข้อมูลเครือข่าย
เกิดอะไรขึ้นในเครือข่ายของฉัน ใครทำให้แบนด์วิดธ์ของฉันสูญเปล่า ทำไมเครือข่ายของฉันจึงช้ามาก คุณเคยถามคำถามเหล่านี้กับตัวเองบ้างไหม? คุณสามารถใช้ชุดเครื่องมือแยกกันเพื่อพยายามหาคำตอบ แต่กระบวนการนี้ใช้เวลานานและจะให้ข้อมูลแก่คุณหลังจากข้อเท็จจริงเท่านั้น
ดูทราฟฟิกทั้งหมดแบบเรียลไทม์โดยลงชื่อเข้าใช้ Application Flow Monitor:
- ดูกราฟแบบเรียลไทม์ของปริมาณการใช้งานแอปพลิเคชันทั้งหมด
- ดูกราฟแบบเรียลไทม์ของแบนด์วิดท์ขาเข้าและขาออก
- ดูกราฟแบบเรียลไทม์ของเว็บไซต์ที่เข้าชมและกิจกรรมของผู้ใช้ทั้งหมด
- สร้างการกรองของคุณเองที่ให้ข้อมูลที่เกี่ยวข้องมากที่สุด
- จัดการแบนด์วิดธ์สำหรับกลุ่มผู้ใช้
คุณจะทำอย่างไรถ้า CEO ของคุณบ่นว่าวิดีโอข่าวธุรกิจที่เขาต้องการดูทุกเช้านั้นกระตุกและเล่นไม่ถูกต้อง หลังจากการตรวจสอบ คุณระบุได้ว่าเป็นเพราะนโยบายการจัดการแบนด์วิดท์ทั่วทั้งบริษัทที่คุณใช้สำหรับการสตรีมวิดีโอทั้งหมดใช่หรือไม่ คุณสามารถผ่อนคลายข้อจำกัดแบนด์วิดท์สำหรับทุกคนได้ แต่ตอนนี้มีคำตอบที่ดีกว่า: การจัดการแบนด์วิดท์แบบกลุ่ม
สร้างนโยบายเพื่อแยกทีมผู้บริหารออกจากการจัดการแบนด์วิดท์วิดีโอสตรีมมิ่ง:
- เลือกกลุ่มผู้บริหารที่นำเข้าจากเซิร์ฟเวอร์ LDAP ของคุณ
- เอ็นจิ้น Deep Packet Inspection ใช้ลายเซ็นแอปพลิเคชันวิดีโอสตรีมมิ่งที่กำหนดไว้ล่วงหน้าจากรายการลายเซ็นแอปพลิเคชัน
- ใช้การจำกัดแบนด์วิดท์กับการรับส่งข้อมูลด้วยส่วนหัวนั้น
- บล็อกการโจมตีและการละเมิดของแรนซัมแวร์ - บล็อกการโจมตีของมัลแวร์และการบุกรุกก่อนที่จะเข้าสู่เครือข่ายของคุณ!
ความปลอดภัยของเครือข่ายต้องอยู่ในระดับแนวหน้าของความสนใจของผู้ดูแลระบบไอที ความสามารถในการบล็อกการโจมตี เช่น แรนซัมแวร์และการละเมิดที่ส่งผ่านมัลแวร์และการพยายามบุกรุกช่วยบรรเทาองค์กรจากความเสี่ยงและสำรองทรัพยากรที่อาจสูญเปล่า
- ระบุการเชื่อมต่อตามประเทศ
การเชื่อมต่อกับ IP ในต่างประเทศจากสำนักงานในพื้นที่ใกล้เคียงของคุณหรือเว็บไซต์สาขาเป็นเพียงการเชื่อมต่อที่ไม่เป็นพิษเป็นภัยจากผู้ที่เรียกดูเว็บ หรือเป็นกิจกรรมของบ็อตเน็ตหรือไม่ คุณสามารถใช้การระบุการรับส่งข้อมูลของประเทศตาม GeoIP เพื่อระบุและควบคุมการรับส่งข้อมูลเครือข่ายที่ไปหรือมาจากประเทศใดประเทศหนึ่ง เพื่อป้องกันการโจมตีจากต้นทางที่ทราบหรือสงสัยของกิจกรรมการคุกคาม หรือเพื่อตรวจสอบการรับส่งข้อมูลที่น่าสงสัยที่มาจากเครือข่าย
ดูการเชื่อมต่อตามประเทศหรือสร้างตัวกรองเฉพาะประเทศ:
- ตรวจสอบว่าแอปพลิเคชันใดเชื่อมต่อกับ IP ในประเทศอื่น
- ดูว่าผู้ใช้รายใดและคอมพิวเตอร์เครื่องใดที่เชื่อมต่อกับ IP ประเทศอื่น
- สร้างตัวกรองเพื่อจำกัดการรับส่งข้อมูลไปยังประเทศที่คุณระบุ พร้อมรายการยกเว้น
- ป้องกันข้อมูลรั่วไหลผ่านอีเมล
ในบางบริษัท อีเมลขาออกจะไม่ผ่านระบบความปลอดภัยของอีเมล หรือระบบนั้นจะไม่ตรวจสอบเนื้อหาของไฟล์แนบอีเมล ไม่ว่าในกรณีใด ไฟล์แนบ "ที่เป็นความลับของบริษัท" สามารถออกจากองค์กรได้อย่างง่ายดาย เนื่องจากการรับส่งข้อมูลเครือข่ายขาออกต้องผ่านไฟร์วอลล์ของคุณ คุณจึงสามารถตรวจจับและบล็อก "ข้อมูลในการเคลื่อนไหว" นี้ได้ สร้างนโยบายเพื่อบล็อกไฟล์แนบอีเมลที่มีลายน้ำ "บริษัทที่เป็นความลับ"
เอ็นจิ้น Deep Packet Inspection ค้นหา:
- เนื้อหาอีเมล = “ความลับของบริษัท” และ
- เนื้อหาอีเมล = “กรรมสิทธิ์ของบริษัท” และ
- เนื้อหาอีเมล = “กรรมสิทธิ์ส่วนตัว” เป็นต้น
- ป้องกันข้อมูลรั่วไหลผ่านเว็บเมล
ตอนนี้ สมมติว่าการป้องกันสแปมที่มีอยู่ของคุณสามารถตรวจจับและบล็อกอีเมลขาออกปกติที่มีข้อมูล "ความลับของบริษัท" แต่ถ้าพนักงานใช้บริการเว็บเมล เช่น Yahoo หรือ Gmail เพื่อส่งข้อมูล "ความลับของบริษัท" ล่ะ
สร้างนโยบายเพื่อบล็อกไฟล์แนบ "ที่เป็นความลับของบริษัท" ในการเข้าชมเว็บ:
- เอ็นจิ้น Deep Packet Inspection ค้นหา “ความลับของบริษัท” ในไฟล์ที่ถ่ายโอนผ่าน http หรือ https
- บล็อคข้อความและแจ้งผู้ส่งว่าข้อความนั้น “บริษัทเป็นความลับ
- แบนด์วิดท์จัดการสตรีมเสียงและวิดีโอ
การเข้าถึงการสตรีมวิดีโอจากเว็บไซต์เช่น YouTube.com บางครั้งอาจมีประโยชน์แต่มักถูกละเมิด การบล็อกไซต์เหล่านี้อาจใช้งานได้ แต่แนวทางที่ดีกว่าคือการจำกัดแบนด์วิดท์ทั้งหมดที่มอบให้กับการสตรีมวิดีโอ ไม่ว่าจะมาจากที่ใด นอกจากนี้ยังใช้กับเว็บไซต์สตรีมมิ่งเสียง เช่น สถานีวิทยุเพลงออนไลน์และบริการสตรีมเพลง เช่น Spotify และ Apple Music การเข้าชมนี้ไม่จำเป็นต้องมาจากไซต์ที่มีชื่อเสียงแต่สามารถโฮสต์โดยบล็อกได้ ดังนั้น เป้าหมายคือการระบุการเข้าชมนี้จากสิ่งที่เป็น แทนที่จะเป็นที่มา
สร้างนโยบายเพื่อจำกัดการสตรีมเสียงและการสตรีมวิดีโอตามรายการลายเซ็นที่กำหนดไว้ล่วงหน้า
- เลือกสตรีมวิดีโอและสตรีมเสียงเป็นหมวดหมู่แอปพลิเคชัน
- กำหนดจำนวนแบนด์วิดท์ที่คุณต้องการจัดสรรให้กับหมวดหมู่แอปพลิเคชันเหล่านี้ (เช่น 10%)
- สร้างกฎที่บังคับให้สตรีมวิดีโอและสตรีมเสียงใช้แบนด์วิดท์สูงสุด 10% สำหรับทุกคน (อาจยกเว้นกลุ่มแผนกเฉพาะเช่นในกลุ่มฝึกอบรม)
- คุณสามารถเลือกกำหนดเวลาให้กฎมีผลในช่วงเวลาทำการมาตรฐาน แต่ไม่ใช่ในช่วงเวลาอาหารกลางวันหรือหลัง 6 น.
- ยืนยันประสิทธิภาพของนโยบายใหม่ของคุณด้วยการแสดงภาพแบบเรียลไทม์โดยลงชื่อเข้าใช้ Application Flow Monitor
