Policy Workbench 101: Wann und wie Sie es einsetzen

Es geht eine Firewall-Änderungsanfrage ein: Zwei Systeme sollen miteinander kommunizieren dürfen. FireMon Rule Recommendation identifiziert die relevante Firewall und schlägt vor, eine neue Regel oberhalb einer bestehenden Regel einzufügen, weil die bestehende Regel zu weit gefasst ist.

Die Empfehlung liefert einen Ausgangspunkt. Doch bevor Sie weitergehen, müssen Sie die bestehende Regel verstehen, die vorgeschlagene Platzierung bewerten und bestätigen, dass die Änderung die Anfrage erfüllt, ohne unnötige Zugriffe zu öffnen.

Genau hier kommt FireMon Policy Workbench ins Spiel.

Policy Workbench kombiniert automatisierte Regelempfehlungen mit einem Arbeitsbereich, in dem Sie bestehende Policies prüfen und Änderungen entwerfen. Engineers können Empfehlungen prüfen, Regeln und Objekte untersuchen und bei Bedarf unterstützte manuelle Änderungen vornehmen.

Im Folgenden lesen Sie, wann Sie Workbench einsetzen und wie Sie von einer Empfehlung zum Change Plan kommen.

Wo Policy Workbench im Firewall Change Management ansetzt

Bei einer Firewall-Änderung geht es um mehr als die Frage, welche Regel hinzukommt. Engineers brauchen Transparenz über die bestehende Umgebung, eine Möglichkeit, die Änderung zu entwerfen, und einen Prozess für Review und Umsetzung.

FireMon unterstützt diese Aufgaben über drei miteinander verbundene Funktionen.

Security Manager liefert den Policy-Kontext. Er gibt Engineers Transparenz über Firewall-Regeln, Objekte und Konfigurationen auf allen unterstützten Geräten.

Policy Planner steuert den Änderungsprozess. Er bietet strukturierte Workflows zum Erstellen, Analysieren, Genehmigen, Umsetzen und Verifizieren von Änderungen an Firewall-Policies.

Policy Workbench ist der Arbeitsbereich für das Design. Als Teil von Policy Planner ermöglicht Workbench es Engineers, Regelempfehlungen zu prüfen, bestehende Policies zu untersuchen und Änderungen vorzubereiten, bevor diese den weiteren Workflow durchlaufen.

Rule Recommendation analysiert den angeforderten Zugriff, um die betroffenen Geräte zu ermitteln und passende Policy-Änderungen vorzuschlagen. Je nach Umgebung kann die Empfehlung lauten: eine Regel hinzufügen, eine bestehende Regel ändern oder nichts tun, weil der Zugriff bereits besteht.

Workbench hilft Engineers, diese Empfehlungen zu bewerten, statt sie ungeprüft zu übernehmen.

Zusätzlich bietet Workbench einen strukturierten Weg, Änderungen manuell zu entwerfen, wenn automatisierte Empfehlungen unvollständig sind oder nachgeschärft werden müssen.

Der Unterschied ist wichtig: Wenn Sie einen vorgeschlagenen Change Plan in Workbench speichern, wird die Änderung damit nicht auf einer Firewall ausgerollt. Vor der Umsetzung durchläuft der Plan weiterhin den zuständigen Workflow in Policy Planner.

Wann sollten Sie Policy Workbench einsetzen?

Nicht jede Firewall-Änderung erfordert denselben Prüfaufwand. Manche Empfehlungen sind eindeutig. Andere werfen Fragen zu bestehenden Regeln, zur Platzierung in der Policy oder zu fehlenden Informationen auf.

Workbench unterstützt drei typische Situationen.

Wenn die Rule Recommendations die Anfrage abdecken

Angenommen, Rule Recommendation identifiziert die relevante Firewall und schlägt eine Regel vor, die den angeforderten Zugriff abdeckt.

Sie können die vorgeschlagene Änderung prüfen, die betroffene Policy ansehen und die Empfehlung übernehmen, wenn sie passt.

Es geht nicht darum, den Empfehlungsprozess manuell zu wiederholen. Es geht darum, zu bestätigen, dass die vorgeschlagene Änderung die Anforderung erfüllt und den Policy-Standards Ihres Unternehmens entspricht.

Wenn eine Empfehlung genauer geprüft werden muss

Zurück zu unserem Eingangsbeispiel.

Rule Recommendation schlägt vor, eine neue Regel oberhalb einer bestehenden Regel anzulegen, weil die bestehende Regel zu weit gefasst ist.

Warum ist das relevant?

Firewall-Regeln werden entsprechend dem Policy-Verhalten des Geräts und der Regelreihenfolge ausgewertet. Die Position einer vorgeschlagenen Regel kann also beeinflussen, wie Traffic behandelt wird.

Bevor Sie die Empfehlung übernehmen, sollten Sie die bestehende Regel prüfen und nachvollziehen, wie sich die vorgeschlagene Änderung in die Policy einfügt.

In Workbench untersuchen Sie die relevanten Security Rules, Netzwerkobjekte und Serviceobjekte. Sie prüfen die vorgeschlagene Platzierung und entscheiden, ob das empfohlene Design geeignet ist.

Wenn Empfehlungen unvollständig oder nicht verfügbar sind

Manchmal kann Rule Recommendation kein vollständiges Ergebnis liefern.

Die Ursache können fehlende Informationen, die Geräteauswahl, eine nicht unterstützte Konfiguration oder eine andere Bedingung sein, die die Analyse beeinflusst.

Workbench liefert Informationen, mit denen Sie dem Problem nachgehen können. Wo möglich, beheben Sie die Ursache und fordern die Empfehlungen erneut an.

Bleibt eine Empfehlung weiterhin aus, unterstützt Workbench auch das manuelle Design von Änderungen, im Rahmen der Funktionen und Berechtigungen der Umgebung.

Empfohlene und manuelle Änderungen können in denselben Change Plan einfließen. So können Engineers weiterarbeiten, ohne sich vollständig auf die Automatisierung zu verlassen.

So nutzen Sie Policy Workbench: von der Empfehlung zum Change Plan

Bleiben wir beim ursprünglichen Szenario.

Eine Zugriffsanfrage erfordert eine Änderung der Firewall-Policy. Rule Recommendation schlägt vor, eine neue Regel oberhalb einer bestehenden Regel einzufügen, weil diese zu weit gefasst ist.

So bewerten Engineers die Empfehlung und bereiten den Change Plan in Workbench vor.

Schritt 1: Den Zugriffsbedarf definieren

Starten Sie mit der Zugriffsanfrage, nicht mit der vorgeschlagenen Firewall-Regel.

Klären Sie Quelle, Ziel, benötigte Services und den geschäftlichen Zweck. Diese Angaben legen fest, was die Änderung leisten muss.

Bei einer Anfrage, die Kommunikation zwischen zwei Systemen erlauben soll, muss zum Beispiel genau feststehen, welche Systeme Zugriff benötigen und welche Services dafür erforderlich sind.

Gehen Sie nicht davon aus, dass die weiter gefassten Berechtigungen einer bestehenden Regel auf den neuen Zugriff übertragen werden sollten.

Ziel ist es, die Anfrage mit passend zugeschnittenem Zugriff zu erfüllen.

Schritt 2: Den Change Plan in Workbench öffnen

Suchen Sie in Policy Planner das Ticket und die Anforderung, für die ein Change Plan erstellt werden soll.

Klappen Sie die Anforderung auf und wählen Sie Add Change Plan. Der Change Plan Editor öffnet sich in einem neuen Browser-Tab.

Der Editor gibt Ihnen Zugriff auf Regelempfehlungen, unterstützte manuelle Änderungen und die Policy-Informationen, die Sie für das Design der Änderung brauchen.

Bevor Sie Empfehlungen anfordern, prüfen Sie, ob die Anforderung den beabsichtigten Zugriff korrekt beschreibt.

Schritt 3: Die Rule Recommendation prüfen

Klicken Sie auf Empfehlungen Anfordern, um den Empfehlungsprozess zu starten. Sobald die Ergebnisse vorliegen, klicken Sie auf Empfehlungen Anzeigen.

Rule Recommendation ermittelt infrage kommende Geräte und schlägt Änderungen vor, basierend auf den verfügbaren Policy-Informationen, der Workflow-Konfiguration und den Benutzerberechtigungen.

In unserem Szenario empfiehlt das Ergebnis, eine neue Regel oberhalb einer bestehenden Regel anzulegen, weil diese zu weit gefasst ist.

Prüfen Sie vor der Auswahl das vorgeschlagene Gerät, die Regel und die Platzierung.

In unterstützten Releases liefert Über diese Empfehlung zusätzlichen Kontext dazu, warum eine bestimmte Aktion vorgeschlagen wurde.

Nutzen Sie diese Informationen, um die Empfehlung einzuordnen, bevor Sie entscheiden, ob Sie sie in den Change Plan aufnehmen.

Schritt 4: Bestehende Policy prüfen und das Design verfeinern

Die Empfehlung zeigt eine mögliche Änderung auf. Jetzt gilt es zu entscheiden, ob sie sinnvoll ist.

Prüfen Sie in Workbench die bestehende Security-Regel sowie die zugehörigen Netzwerk- und Service-Objekte.

Sehen Sie sich an, was die aktuelle Regel erlaubt und wie ihr Geltungsbereich zum angeforderten Zugriff passt.

In unserem Beispiel lautet die entscheidende Frage: Löst eine spezifischere Regel oberhalb der bestehenden die Anforderung korrekt?

Prüfen Sie Quelle, Ziel, Services und Platzierung der vorgeschlagenen Regel. Berücksichtigen Sie, ob sie den etablierten Namenskonventionen und internen Policy-Vorgaben entspricht.

Ist die Empfehlung passend, übernehmen Sie sie in den Change Plan.

Sind Anpassungen nötig, unterstützt Workbench manuelle Regel- und Objektänderungen auf unterstützten Geräten. Sie können eine abweichende Änderung vorbereiten oder ausgewählte Empfehlungen bei Bedarf ergänzen.

Welche Bearbeitungsoptionen zur Verfügung stehen, hängt vom Gerät, der Policy-Konfiguration, den Berechtigungen und dem unterstützten Workflow ab.

Während der Arbeit zeigt das Change Plan Drawer die Änderungen an, die gerade zusammengestellt werden. So prüfen Sie empfohlene und manuelle Änderungen gemeinsam, statt sie getrennt zu behandeln.

Ziel ist ein vollständiges, konsistentes Design, das die Zugriffsanforderung erfüllt.

Schritt 5: Change Plan speichern und Risiken vor der Umsetzung prüfen

Prüfen Sie den zusammengestellten Change Plan, bevor Sie speichern.

Vergewissern Sie sich, dass die richtigen Geräte und Policies enthalten sind. Kontrollieren Sie die vorgeschlagenen Regeldefinitionen, Objekte und die Platzierung. Stellen Sie sicher, dass manuelle Änderungen die ausgewählten Empfehlungen sinnvoll ergänzen.

Wenn der Plan steht, klicken Sie auf Speichern.

Durch das Speichern werden die vorgeschlagenen Änderungen gesichert. Auf der Firewall umgesetzt werden sie damit nicht.

Genau hier wird die Risiko- und Compliance-Analyse von FireMon vor der Änderung entscheidend.

Während das Ticket den Workflow von Policy Planner durchläuft, kann FireMon die vorgeschlagenen Änderungen simulieren und sie vor der Umsetzung gegen die geltenden Security- und Compliance-Controls prüfen.

Diese Bewertungen zeigen, ob eine geplante Änderung zu Non-Compliance führt oder das Risiko erhöht. Statt eine Änderung allein danach freizugeben, ob sie die Zugriffsanfrage erfüllt, können Engineers ihre möglichen Auswirkungen auf die Sicherheit beurteilen.

Zeigt die Analyse Probleme, kann das Team die Ergebnisse prüfen und entscheiden, ob der Change Plan vor der Freigabe überarbeitet werden muss.

Das ist ein wichtiger Unterschied: Eine Änderung kann den angeforderten Zugriff erfüllen und trotzdem ein inakzeptables Risiko mit sich bringen.

Die Kombination aus den Design-Funktionen von Workbench und den Vorab-Bewertungen in Policy Planner gibt Engineers ein klareres Bild davon, was die Änderung bewirkt und ob sie den Sicherheitsanforderungen des Unternehmens entspricht.

Sind die erforderlichen Bewertungen und Freigaben abgeschlossen, geht das Ticket gemäß konfiguriertem Workflow in Umsetzung und Verifizierung.

Was Sie vor dem nächsten Schritt prüfen sollten

Ein fertiger Change Plan sollte klar beschreiben, was geändert werden muss und warum.

Gehen Sie fünf Fragen durch, bevor Sie das Ticket weitergeben.

Entspricht der vorgeschlagene Zugriff der Anforderung? Vergewissern Sie sich, dass Quelle, Ziel, Services und Geschäftszweck zur ursprünglichen Anfrage passen. Achten Sie auf unnötig weit gefasste Berechtigungen.

Sind Geräte, Objekte und Regelplatzierung passend? Prüfen Sie, wie die geplanten Änderungen mit der bestehenden Policy zusammenwirken. In unserem Beispiel: Bestätigen Sie, dass eine Regel oberhalb der weiter gefassten Regel das gewünschte Verhalten erzielt.

Wurden Warnungen oder unvollständige Empfehlungen bearbeitet? Untersuchen Sie Fehler in den Empfehlungen oder fehlende Informationen. Nehmen Sie nicht an, dass ein unvollständiges Ergebnis bedeutet, dass keine Änderungen nötig sind.

Welche Analysen und Freigaben stehen noch aus? Klären Sie, welche Risikobewertungen, Compliance-Prüfungen und Workflow-Freigaben vor der Umsetzung erforderlich sind.

Wie wird der beabsichtigte Zugriff verifiziert? Legen Sie fest, wie Sie nach dem Deployment bestätigen, dass die Änderung wie erwartet funktioniert und keinen ungewollten Zugriff eröffnet.

Diese Prüfungen stellen sicher, dass die geplante Änderung für die nächste Phase des Prozesses bereit ist.

Rule Recommendations und Praxiswissen der Engineers zusammenbringen

Rule Recommendation hilft Engineers zu erkennen, wo Änderungen nötig sein könnten und welche Maßnahmen eine Zugriffsanfrage erfüllen würden.

Policy Workbench liefert ihnen den Kontext und die Flexibilität, um über das weitere Vorgehen zu entscheiden.

Sind die Empfehlungen eindeutig, prüfen Engineers sie und übernehmen sie. Braucht eine geplante Änderung mehr Analyse, sehen sie sich die bestehende Policy an. Und sind Empfehlungen unvollständig, lässt sich der Plan über das unterstützte manuelle Design weiter aufbauen.

Das Ergebnis ist ein praxisnäherer Ansatz für das Design von Firewall-Änderungen: Die Automatisierung übernimmt die Vorarbeit, die Engineers treffen die wichtigen Entscheidungen.

Entdecken Sie Policy Workbench und erfahren Sie, wie FireMon automatisierte Rule Recommendations mit praxisnahem Design von Policy-Änderungen verbindet.