Presentamos FireMon Agentic AI. Más Información →
Published:
Policy Workbench 101: cuándo y cómo usarlo
FireMon Policy Workbench permite a los ingenieros diseñar planes de cambios de firewall, pero guardarlos no los despliega: los cambios primero recorren el workflow de Policy Planner.
by FireMon
Llega una solicitud de cambio de firewall para permitir el acceso entre dos sistemas. FireMon Rule Recommendation identifica el firewall relevante y sugiere agregar una nueva regla por encima de una existente, porque esa regla existente es demasiado amplia.
La recomendación le da un punto de partida. Sin embargo, antes de avanzar, necesita entender la regla existente, evaluar la ubicación propuesta y confirmar que el cambio atiende la solicitud sin introducir accesos innecesarios.
Ahí es donde entra en juego FireMon Policy Workbench.
Policy Workbench combina recomendaciones automatizadas de reglas con un espacio de trabajo para inspeccionar las políticas existentes y diseñar cambios. Los ingenieros pueden revisar recomendaciones, investigar reglas y objetos, y realizar cambios manuales compatibles cuando sea necesario.
A continuación, cuándo usar Workbench y cómo pasar de una recomendación a un plan de cambios.
Dónde encaja Policy Workbench en la gestión de cambios de firewall
Un cambio de firewall implica mucho más que decidir qué regla agregar. Los ingenieros necesitan visibilidad del entorno existente, una forma de diseñar el cambio y un proceso para revisarlo e implementarlo.
FireMon respalda estas actividades mediante tres capacidades conectadas.
Security Manager aporta el contexto de las políticas. Brinda a los ingenieros visibilidad de las reglas, los objetos y las configuraciones de firewall en todos los dispositivos compatibles.
Policy Planner gestiona el proceso de cambio. Ofrece workflows estructurados para crear, analizar, aprobar, implementar y verificar cambios en las políticas de firewall.
Policy Workbench aporta el espacio de diseño. Como parte de Policy Planner, Workbench permite a los ingenieros revisar recomendaciones de reglas, inspeccionar las políticas existentes y preparar los cambios antes de que avancen por el resto del workflow.
Rule Recommendation analiza el acceso solicitado para identificar dispositivos y sugerir los cambios de política adecuados. Según el entorno, puede recomendar agregar una regla, modificar una regla existente o no tomar ninguna acción cuando el acceso ya existe.
Workbench ayuda a los ingenieros a evaluar esas recomendaciones en lugar de aceptarlas sin revisión.
También ofrece una forma estructurada de diseñar cambios de manera manual cuando las recomendaciones automatizadas están incompletas o requieren ajustes.
La distinción es importante: guardar un plan de cambios propuesto en Workbench no implementa los cambios en un firewall. El plan continúa por el workflow correspondiente de Policy Planner antes de su implementación.
¿Cuándo debe usar Policy Workbench?
No todos los cambios de firewall requieren el mismo nivel de análisis. Algunas recomendaciones son directas. Otras plantean dudas sobre las reglas existentes, la ubicación dentro de la política o información faltante.
Workbench da soporte a tres situaciones comunes.
Cuando las recomendaciones de reglas resuelven la solicitud
Supongamos que Rule Recommendation identifica el firewall relevante y propone agregar una regla que satisface el acceso solicitado.
Puede inspeccionar el cambio propuesto, revisar la política afectada y seleccionar la recomendación si resulta adecuada.
El objetivo no es repetir manualmente el proceso de recomendación, sino confirmar que el cambio propuesto cumple con el requisito y sigue los estándares de políticas de su organización.
Cuando una recomendación requiere una revisión más detallada
Retomemos el ejemplo inicial.
Rule Recommendation sugiere crear una nueva regla por encima de una regla existente, porque esa regla existente es demasiado amplia.
¿Por qué importa esto?
Las reglas de firewall se evalúan según el comportamiento de la política del dispositivo y el orden de las reglas. La posición de una regla propuesta puede afectar la forma en que se trata el tráfico.
Antes de aceptar la recomendación, debe inspeccionar la regla existente y entender cómo se integra el cambio propuesto en la política.
Workbench le permite examinar las reglas de seguridad, los objetos de red y los objetos de servicio relevantes. Puede revisar la ubicación propuesta y decidir si el diseño recomendado es el adecuado.
Cuando las recomendaciones están incompletas o no están disponibles
En ocasiones, Rule Recommendation no puede generar un resultado completo.
El problema puede deberse a información faltante, a la selección del dispositivo, a una configuración no compatible o a otra condición que afecte el análisis.
Workbench entrega información para ayudar a investigar el problema. Puede corregirlo cuando sea posible y volver a solicitar recomendaciones.
Si aun así no hay una recomendación disponible, Workbench también admite el diseño manual de cambios dentro de las capacidades y los permisos del entorno.
Los cambios recomendados y los manuales pueden integrarse en un mismo plan de cambios, lo que permite a los ingenieros seguir trabajando sin depender por completo de la automatización.
Cómo usar Policy Workbench: de la recomendación al plan de cambios
Retomemos el escenario original.
Una solicitud de acceso requiere un cambio en la política de firewall. Rule Recommendation sugiere agregar una nueva regla por encima de una regla existente, porque esa regla es demasiado amplia.
Así es como un ingeniero puede evaluar la recomendación y preparar el plan de cambios en Workbench.
Paso 1: Defina el requisito de acceso
Comience por la solicitud de acceso, no por la regla de firewall propuesta.
Confirme el origen, el destino, los servicios requeridos y el propósito de negocio. Estos detalles establecen qué debe lograr el cambio.
Por ejemplo, una solicitud para permitir la comunicación entre dos sistemas debe identificar exactamente qué sistemas necesitan acceso y qué servicios requieren.
Evite suponer que los permisos más amplios de una regla existente deben trasladarse al nuevo acceso.
El objetivo es atender la solicitud con un acceso de alcance adecuado.
Paso 2: Abra el plan de cambios en Workbench
En Policy Planner, ubique el ticket y el requisito que necesita un plan de cambios.
Expanda el requisito y seleccione Agregar Plan De Cambios. El editor de planes de cambios se abre en una nueva pestaña del navegador.
El editor da acceso a las recomendaciones de reglas, a los cambios manuales compatibles y a la información de políticas necesaria para diseñar el cambio.
Antes de solicitar recomendaciones, confirme que el requisito describe con precisión el acceso previsto.
Paso 3: Revise la recomendación de regla
Seleccione Solicitar Recomendaciones para ejecutar el proceso de recomendación. Cuando los resultados estén disponibles, seleccione Ver Recomendaciones.
Rule Recommendation identifica los dispositivos potenciales y sugiere cambios con base en la información de políticas disponible, la configuración del workflow y los permisos de usuario.
En nuestro escenario, el resultado recomienda crear una nueva regla por encima de una regla existente porque esa regla es demasiado amplia.
Antes de seleccionarla, examine el dispositivo, la regla y la ubicación propuestos.
En las versiones compatibles, Acerca de Esta Recomendación ofrece contexto adicional que explica por qué se sugirió una acción determinada.
Utilice esa información para comprender la recomendación antes de decidir si la incluye en el plan de cambios.
Paso 4: Inspeccione la política existente y refine el diseño
La recomendación identifica un posible cambio. Ahora debe determinar si tiene sentido.
Utilice Workbench para inspeccionar la regla de seguridad existente y sus objetos de red y de servicio asociados.
Observe qué permite la regla actual y cómo se compara su alcance con el acceso solicitado.
En nuestro ejemplo, la pregunta clave es si agregar una regla más específica por encima de la existente resolverá correctamente la solicitud.
Revise el origen, el destino, los servicios y la ubicación de la regla propuesta. Considere si se alinea con las convenciones de nomenclatura establecidas y con los requisitos de las políticas internas.
Si la recomendación es adecuada, selecciónela para el plan de cambios.
Si requiere ajustes, Workbench admite cambios manuales de reglas y objetos en los dispositivos compatibles. Puede preparar un cambio distinto o complementar las recomendaciones seleccionadas cuando sea necesario.
Las acciones de edición disponibles dependen del dispositivo, la configuración de políticas, los permisos y el workflow compatible.
A medida que trabaja, el panel Change Plan muestra los cambios que se van integrando. Así puede revisar en conjunto los cambios recomendados y los manuales, en lugar de tratarlos como actividades separadas.
El objetivo es un diseño completo y coherente que satisfaga el requisito de acceso.
Paso 5: Guarde el plan de cambios y valide el riesgo antes de la implementación
Antes de guardar, revise el plan de cambios integrado.
Confirme que estén incluidos los dispositivos y las políticas correspondientes. Verifique las definiciones de reglas, los objetos y la ubicación propuestos. Asegúrese de que los cambios manuales complementen las recomendaciones seleccionadas.
Cuando el plan esté listo, seleccione Guardar.
Guardar conserva los cambios propuestos, pero no los implementa en el firewall.
Aquí es donde el análisis de riesgo y compliance previo al cambio de FireMon resulta crítico.
A medida que el ticket avanza por el workflow de Policy Planner, FireMon puede simular los cambios propuestos y evaluarlos frente a los controles de seguridad y compliance aplicables antes de la implementación.
Estas evaluaciones ayudan a identificar si un cambio propuesto introduciría non-compliance de políticas o aumentaría el riesgo. En lugar de aprobar un cambio únicamente porque satisface la solicitud de acceso, los ingenieros pueden evaluar su posible impacto en la seguridad.
Si la evaluación identifica problemas, el equipo puede revisar los hallazgos y determinar si el plan de cambios debe ajustarse antes de la aprobación.
Esta es una distinción importante: un cambio puede satisfacer el acceso solicitado y aun así introducir un riesgo inaceptable.
Al combinar las capacidades de diseño de cambios de Workbench con las evaluaciones previas al cambio de Policy Planner, los ingenieros pueden avanzar con una comprensión más clara de lo que hará el cambio y de si cumple con los requisitos de seguridad de su organización.
Una vez completadas las evaluaciones y aprobaciones requeridas, el ticket puede pasar a la implementación y la verificación según el workflow configurado.
Qué verificar antes de avanzar
Un plan de cambios finalizado debe describir con claridad qué se necesita cambiar y por qué.
Antes de hacer avanzar el ticket, revise cinco preguntas.
¿El acceso propuesto corresponde al requisito? Confirme que el origen, el destino, los servicios y el propósito de negocio se alineen con la solicitud original. Esté atento a permisos innecesariamente amplios.
¿Son adecuados los dispositivos, los objetos y la ubicación de la regla? Examine cómo interactúan los cambios propuestos con la política existente. En nuestro ejemplo, confirme que insertar una regla por encima de la regla más amplia logre el comportamiento previsto.
¿Se atendieron las advertencias o las recomendaciones incompletas? Investigue los errores de recomendación o la información faltante. No asuma que un resultado incompleto significa que no se requieren cambios.
¿Qué análisis y aprobaciones quedan pendientes? Identifique las evaluaciones de riesgo, las verificaciones de compliance y las aprobaciones del workflow requeridas antes de la implementación.
¿Cómo se verificará el acceso previsto? Defina cómo confirmará que el cambio funciona según lo esperado y que no introduce accesos no deseados después del despliegue.
Estas verificaciones ayudan a asegurar que el cambio propuesto esté listo para la siguiente etapa del proceso.
Aproveche las recomendaciones de reglas junto con el criterio del profesional
Rule Recommendation ayuda a los ingenieros a identificar dónde pueden requerirse cambios y qué acciones podrían satisfacer una solicitud de acceso.
Policy Workbench les brinda el contexto y la flexibilidad para decidir cómo proceder.
Cuando las recomendaciones son claras, los ingenieros pueden revisarlas y seleccionarlas. Cuando un cambio propuesto requiere más investigación, pueden inspeccionar la política existente. Y cuando las recomendaciones están incompletas, el diseño manual compatible ofrece una forma de continuar armando el plan.
El resultado es un enfoque más práctico para el diseño de cambios en firewalls: la automatización hace el trabajo de base y los ingenieros toman las decisiones que importan.
Explore Policy Workbench para conocer cómo FireMon combina recomendaciones automatizadas de reglas con el diseño práctico de cambios de políticas.
Preguntas frecuentes
No. Guardar un plan de cambios en FireMon Policy Workbench no envía el cambio a un firewall. Solo conserva las ediciones propuestas de reglas y objetos dentro de Policy Planner. El plan todavía debe recorrer el workflow configurado de Policy Planner, incluidas la evaluación de riesgo y compliance y la aprobación formal, antes de que alguien lo implemente en un dispositivo.
Una vez guardado un plan, FireMon Policy Planner lo traslada a las etapas restantes del workflow. Según la configuración, eso incluye simular el cambio propuesto frente a los controles de seguridad y compliance, enrutarlo para su aprobación y solo entonces implementarlo y verificarlo en el firewall. Guardar es un paso de diseño, no un paso de implementación.
FireMon Policy Workbench se ubica dentro de Policy Planner como el espacio de trabajo de diseño entre una solicitud de cambio y su implementación. FireMon Security Manager aporta la visibilidad subyacente de reglas y objetos, Rule Recommendation sugiere cambios posibles y Workbench es donde los ingenieros inspeccionan esas sugerencias, las ajustan o crean cambios manualmente antes de que el plan avance por la aprobación y el despliegue.
FireMon evalúa un plan de cambios guardado frente a los controles de seguridad y compliance aplicables como parte del workflow de Policy Planner, simulando los cambios propuestos de reglas y objetos antes de que alguien los implemente. Así, ingenieros y aprobadores pueden ver si un cambio que satisface la solicitud de acceso también introduciría un incumplimiento de políticas o un riesgo adicional, en lugar de aprobar únicamente en función del acceso.
Sí. FireMon Rule Recommendation analiza el acceso solicitado frente a la política de firewall existente y puede determinar que una regla ya lo permite, en cuyo caso no se recomienda ninguna regla nueva. Aun así, los ingenieros usan Policy Workbench para confirmar ese hallazgo contra la regla correspondiente antes de cerrar la solicitud sin realizar un cambio.
En Policy Workbench, los ingenieros abren la recomendación, revisan el dispositivo, la regla y la ubicación propuestos, y usan el contexto disponible para confirmar por qué se sugirió. Si satisface correctamente la solicitud, la seleccionan para agregarla al plan de cambios; de lo contrario, Workbench admite ediciones manuales de reglas y objetos en los dispositivos compatibles para refinarla o reemplazarla.
Antes de diseñar un cambio de acceso en el firewall, los ingenieros deben confirmar el origen, el destino, los servicios requeridos y el propósito de negocio a partir de la solicitud original, en lugar de asumir que los permisos más amplios de una regla existente deben trasladarse. FireMon Policy Workbench les permite luego contrastar esa información con la política existente antes de aceptar o construir un cambio.
Antes de hacer avanzar un ticket, los ingenieros deben confirmar que el acceso propuesto coincide con la solicitud, que el dispositivo, el objeto y la ubicación de la regla son los adecuados, y que se atendieron las advertencias de la recomendación o los resultados incompletos. También deben identificar qué evaluaciones de riesgo y compliance o aprobaciones quedan pendientes y cómo se verificará el acceso resultante después del despliegue.