Policy Workbench 101 : quand et comment l'utiliser

Une demande de modification de pare-feu arrive : il s'agit d'autoriser l'accès entre deux systèmes. FireMon Rule Recommendation identifie le pare-feu concerné et propose d'ajouter une nouvelle règle au-dessus d'une règle existante, celle-ci étant trop permissive.

La recommandation vous donne un point de départ. Mais avant d'aller plus loin, vous devez comprendre la règle existante, évaluer l'emplacement proposé et confirmer que la modification répond à la demande sans introduire d'accès inutile.

C'est là que FireMon Policy Workbench entre en jeu.

Policy Workbench associe des recommandations de règles automatisées à un espace de travail permettant d'inspecter la politique existante et de concevoir les modifications. Les ingénieurs peuvent examiner les recommandations, analyser les règles et les objets, et effectuer les modifications manuelles prises en charge lorsque cela s'avère nécessaire.

Voici quand utiliser Workbench et comment passer d'une recommandation à un plan de modification.

Le rôle de Policy Workbench dans la gestion des modifications de pare-feu

Une modification de pare-feu ne se limite pas à décider quelle règle ajouter. Les ingénieurs ont besoin d'une visibilité sur l'environnement existant, d'un moyen de concevoir la modification et d'un processus pour la valider et la mettre en œuvre.

FireMon prend en charge ces activités à travers trois capacités interconnectées.

Security Manager apporte le contexte de politique. Il offre aux ingénieurs une visibilité sur les règles de pare-feu, les objets et les configurations de l'ensemble des équipements pris en charge.

Policy Planner pilote le processus de modification. Il fournit des workflows structurés pour créer, analyser, approuver, mettre en œuvre et vérifier les modifications de politique de pare-feu.

Policy Workbench constitue l'espace de conception. Intégré à Policy Planner, Workbench permet aux ingénieurs d'examiner les recommandations de règles, d'inspecter la politique existante et de préparer les modifications avant leur passage dans la suite du workflow.

Rule Recommendation analyse l'accès demandé afin d'identifier les équipements et de proposer les modifications de politique appropriées. Selon l'environnement, il peut recommander d'ajouter une règle, de modifier une règle existante ou de n'entreprendre aucune action lorsque l'accès existe déjà.

Workbench aide les ingénieurs à évaluer ces recommandations plutôt qu'à les accepter sans examen.

Il offre également une méthode structurée pour concevoir manuellement les modifications lorsque les recommandations automatisées sont incomplètes ou doivent être affinées.

La distinction est importante : l'enregistrement d'un plan de modification proposé dans Workbench ne déploie pas les modifications sur un pare-feu. Le plan suit ensuite le workflow Policy Planner applicable avant sa mise en œuvre.

Quand utiliser Policy Workbench ?

Toutes les modifications de pare-feu ne nécessitent pas le même niveau d'investigation. Certaines recommandations sont simples. D'autres soulèvent des questions sur les règles existantes, le placement dans la politique ou des informations manquantes.

Workbench répond à trois situations courantes.

Lorsque les recommandations de règles répondent à la demande

Supposons que Rule Recommendation identifie le pare-feu concerné et propose d'ajouter une règle qui satisfait l'accès demandé.

Vous pouvez inspecter la modification proposée, examiner la politique concernée et sélectionner la recommandation si elle est appropriée.

L'objectif n'est pas de reproduire manuellement le processus de recommandation, mais de confirmer que la modification proposée répond à l'exigence et respecte les standards de politique de votre organisation.

Lorsqu'une recommandation exige un examen approfondi

Reprenons l'exemple d'introduction.

Rule Recommendation propose de créer une nouvelle règle au-dessus d'une règle existante, car cette dernière est trop permissive.

Pourquoi est-ce important ?

Les règles de pare-feu sont évaluées selon le comportement de politique de l'équipement et l'ordre des règles. La position d'une règle proposée peut modifier la façon dont le trafic est traité.

Avant d'accepter la recommandation, vous devez inspecter la règle existante et comprendre comment la modification proposée s'intègre dans la politique.

Workbench vous permet d'examiner les règles de sécurité, les objets réseau et les objets de service concernés. Vous pouvez évaluer l'emplacement proposé et déterminer si la conception recommandée est appropriée.

Lorsque les recommandations sont incomplètes ou indisponibles

Il arrive que Rule Recommendation ne puisse pas produire de résultat complet.

Le problème peut tenir à des informations manquantes, au choix de l'équipement, à une configuration non prise en charge ou à une autre condition affectant l'analyse.

Workbench fournit les informations permettant d'investiguer le problème. Vous pouvez le corriger lorsque c'est possible, puis demander à nouveau des recommandations.

Si aucune recommandation n'est disponible, Workbench prend également en charge la conception manuelle des modifications, dans les limites des capacités et des permissions de l'environnement.

Les modifications recommandées et manuelles peuvent alimenter un même plan de modification, ce qui permet aux ingénieurs de poursuivre leur travail sans dépendre entièrement de l'automatisation.

Comment utiliser Policy Workbench : de la recommandation au plan de modification

Reprenons notre scénario initial.

Une demande d'accès nécessite une modification de la politique de pare-feu. Rule Recommendation propose d'ajouter une nouvelle règle au-dessus d'une règle existante, car cette règle est trop permissive.

Voici comment un ingénieur peut évaluer la recommandation et préparer le plan de modification dans Workbench.

Étape 1 : définir l'exigence d'accès

Partez de la demande d'accès, et non de la règle de pare-feu proposée.

Confirmez la source, la destination, les services requis et la finalité métier. Ces éléments définissent ce que la modification doit accomplir.

Par exemple, une demande visant à autoriser la communication entre deux systèmes doit préciser exactement quels systèmes ont besoin d'un accès et quels services leur sont nécessaires.

Ne partez pas du principe que les permissions plus larges d'une règle existante doivent s'appliquer au nouvel accès.

L'objectif est de répondre à la demande avec un accès correctement délimité.

Étape 2 : ouvrir le plan de modification dans Workbench

Dans Policy Planner, localisez le ticket et l'exigence qui nécessite un plan de modification.

Développez l'exigence et sélectionnez Ajouter un Plan de Modification. L'éditeur de plan de modification s'ouvre dans un nouvel onglet du navigateur.

L'éditeur donne accès aux recommandations de règles, aux modifications manuelles prises en charge et aux informations de politique nécessaires à la conception de la modification.

Avant de demander des recommandations, vérifiez que l'exigence décrit précisément l'accès visé.

Étape 3 : examiner la recommandation de règle

Sélectionnez Demander des Recommandations pour lancer le processus de recommandation. Une fois les résultats disponibles, sélectionnez Afficher les Recommandations.

Rule Recommendation identifie les équipements concernés et propose des modifications en fonction des informations de politique disponibles, de la configuration du workflow et des permissions utilisateur.

Dans notre scénario, le résultat recommande de créer une nouvelle règle au-dessus d'une règle existante, car celle-ci est trop permissive.

Avant de la sélectionner, examinez l'équipement, la règle et l'emplacement proposés.

Dans les versions prises en charge, À propos de cette recommandation fournit un contexte supplémentaire expliquant pourquoi une action donnée a été suggérée.

Utilisez ces informations pour comprendre la recommandation avant de décider de l'intégrer ou non au plan de modification.

Étape 4 : Inspecter la politique existante et affiner la conception

La recommandation identifie une modification possible. Il vous revient maintenant de déterminer si elle est pertinente.

Utilisez Workbench pour inspecter la règle de sécurité existante ainsi que les objets réseau et services associés.

Observez ce que la règle actuelle autorise et comparez sa portée à l'accès demandé.

Dans notre exemple, la question clé est de savoir si l'ajout d'une règle plus spécifique au-dessus de la règle existante répondra correctement à la demande.

Examinez la source, la destination, les services et l'emplacement de la règle proposée. Vérifiez qu'elle respecte les conventions de nommage établies et les exigences de politique internes.

Si la recommandation est appropriée, sélectionnez-la pour le plan de modification.

Si elle doit être ajustée, Workbench permet de modifier manuellement les règles et les objets sur les équipements pris en charge. Vous pouvez préparer une autre modification ou compléter les recommandations sélectionnées si nécessaire.

Les actions d'édition disponibles dépendent de l'équipement, de la configuration de la politique, des permissions et du workflow pris en charge.

À mesure que vous travaillez, le volet Change Plan affiche les modifications en cours d'assemblage. Vous pouvez ainsi examiner ensemble les modifications recommandées et manuelles, au lieu de les traiter comme deux activités distinctes.

L'objectif est d'obtenir une conception complète et cohérente qui répond à l'exigence d'accès.

Étape 5 : Enregistrer le plan de modification et valider le risque avant la mise en œuvre

Avant d'enregistrer, examinez le plan de modification assemblé.

Vérifiez que les équipements et les politiques appropriés sont inclus. Contrôlez les définitions de règles, les objets et l'emplacement proposés. Assurez-vous que les modifications manuelles complètent bien les recommandations sélectionnées.

Lorsque le plan est prêt, sélectionnez Enregistrer.

L'enregistrement conserve les modifications proposées. Il ne les applique pas sur le pare-feu.

C'est ici que l'analyse de risque et de conformité avant modification de FireMon devient déterminante.

À mesure que le ticket progresse dans le workflow de Policy Planner, FireMon peut simuler les modifications proposées et les évaluer au regard des contrôles de sécurité et de conformité applicables avant leur mise en œuvre.

Ces évaluations permettent de déterminer si une modification proposée entraînerait des non-conformités de politique ou augmenterait le risque. Plutôt que d'approuver une modification au seul motif qu'elle répond à la demande d'accès, les ingénieurs peuvent en évaluer l'impact potentiel sur la sécurité.

Si l'évaluation révèle des problèmes, l'équipe peut examiner les constats et déterminer si le plan de modification doit être révisé avant approbation.

La distinction est importante. Une modification peut répondre à l'accès demandé tout en introduisant un risque inacceptable.

En associant les capacités de conception de modifications de Workbench aux évaluations préalables de Policy Planner, les ingénieurs avancent avec une vision plus claire de l'effet réel de la modification et de sa conformité aux exigences de sécurité de leur organisation.

Une fois les évaluations et les approbations requises terminées, le ticket peut passer à la mise en œuvre et à la vérification, conformément au workflow configuré.

Ce qu'il faut vérifier avant d'aller plus loin

Un plan de modification finalisé doit indiquer clairement ce qui doit changer et pourquoi.

Avant de faire avancer le ticket, posez-vous cinq questions.

L'accès proposé correspond-il à l'exigence ? Vérifiez que la source, la destination, les services et la finalité métier correspondent à la demande initiale. Méfiez-vous des permissions inutilement larges.

Les équipements, les objets et l'emplacement de la règle sont-ils appropriés ? Examinez la façon dont les modifications proposées interagissent avec la politique existante. Dans notre exemple, vérifiez que l'insertion d'une règle au-dessus de la règle plus large produit le comportement attendu.

Les avertissements ou les recommandations incomplètes ont-ils été traités ? Analysez les erreurs de recommandation ou les informations manquantes. Ne partez pas du principe qu'un résultat incomplet signifie qu'aucune modification n'est nécessaire.

Quelles analyses et approbations restent à effectuer ? Identifiez les évaluations de risque, les contrôles de conformité et les approbations de workflow requis avant la mise en œuvre.

Comment l'accès prévu sera-t-il vérifié ? Déterminez comment vous confirmerez que la modification fonctionne comme prévu et n'ouvre pas d'accès non souhaité après son déploiement.

Ces vérifications permettent de s'assurer que la modification proposée est prête pour l'étape suivante du processus.

Mettez les recommandations de règles et l'expertise des ingénieurs à profit

Rule Recommendation aide les ingénieurs à identifier où des modifications peuvent être nécessaires et quelles actions permettraient de répondre à une demande d'accès.

Policy Workbench leur apporte le contexte et la flexibilité nécessaires pour décider de la marche à suivre.

Lorsque les recommandations sont claires, les ingénieurs peuvent les examiner et les sélectionner. Lorsqu'une modification proposée nécessite une analyse plus poussée, ils peuvent inspecter la politique existante. Et lorsque les recommandations sont incomplètes, la conception manuelle prise en charge leur permet de poursuivre l'élaboration du plan.

Il en résulte une approche plus concrète de la conception des modifications de pare-feu : l'automatisation effectue le travail préparatoire et les ingénieurs prennent les décisions qui comptent.

Découvrez Policy Workbench pour comprendre comment FireMon associe des recommandations de règles automatisées à une conception concrète des modifications de politique.