Policy Workbench 101: quando e come utilizzarlo

Arriva una richiesta di modifica del firewall per consentire l'accesso tra due sistemi. FireMon Rule Recommendation individua il firewall interessato e propone di inserire una nuova regola sopra una regola esistente, perché quest'ultima è troppo ampia.

La raccomandazione offre un punto di partenza. Prima di procedere, però, occorre comprendere la regola esistente, valutare la posizione proposta e verificare che la modifica soddisfi la richiesta senza introdurre accessi non necessari.

È qui che entra in gioco FireMon Policy Workbench.

Policy Workbench unisce raccomandazioni automatiche sulle regole a un'area di lavoro in cui analizzare le policy esistenti e progettare le modifiche. Gli engineer possono esaminare le raccomandazioni, approfondire regole e oggetti e, quando serve, apportare manualmente le modifiche supportate.

Di seguito, quando utilizzare Workbench e come passare da una raccomandazione a un change plan.

Il ruolo di Policy Workbench nella gestione delle modifiche al firewall

Una modifica al firewall non si limita a decidere quale regola aggiungere. Gli engineer hanno bisogno di visibilità sull'ambiente esistente, di uno strumento per progettare la modifica e di un processo per esaminarla e implementarla.

FireMon supporta queste attività con tre funzionalità integrate tra loro.

Security Manager fornisce il contesto di policy. Offre agli engineer visibilità su regole, oggetti e configurazioni del firewall sui dispositivi supportati.

Policy Planner gestisce il processo di modifica. Mette a disposizione workflow strutturati per creare, analizzare, approvare, implementare e verificare le modifiche alle policy del firewall.

Policy Workbench è l'area di lavoro per la progettazione. Integrato in Policy Planner, Workbench consente agli engineer di esaminare le raccomandazioni sulle regole, analizzare le policy esistenti e preparare le modifiche prima che proseguano nel resto del workflow.

Rule Recommendation analizza l'accesso richiesto per individuare i dispositivi coinvolti e proporre le modifiche di policy adeguate. A seconda dell'ambiente, può suggerire di aggiungere una regola, di modificarne una esistente oppure di non intervenire affatto se l'accesso è già consentito.

Workbench aiuta gli engineer a valutare queste raccomandazioni, invece di accettarle senza alcuna verifica.

Offre inoltre un metodo strutturato per progettare le modifiche manualmente, quando le raccomandazioni automatiche risultano incomplete o da affinare.

La distinzione è importante: salvare un change plan proposto in Workbench non significa applicare le modifiche al firewall. Prima dell'implementazione, il piano prosegue nel workflow Policy Planner previsto.

Quando utilizzare Policy Workbench

Non tutte le modifiche al firewall richiedono lo stesso livello di approfondimento. Alcune raccomandazioni sono immediate. Altre sollevano dubbi sulle regole esistenti, sul posizionamento nella policy o su informazioni mancanti.

Workbench risponde a tre situazioni ricorrenti.

Quando le raccomandazioni sulle regole rispondono alla richiesta

Ipotizziamo che Rule Recommendation individui il firewall interessato e proponga l'aggiunta di una regola in grado di soddisfare l'accesso richiesto.

È possibile esaminare la modifica proposta, verificare la policy interessata e selezionare la raccomandazione se risulta adeguata.

L'obiettivo non è ripetere manualmente il processo di raccomandazione, ma confermare che la modifica proposta soddisfi il requisito e rispetti gli standard di policy della propria organizzazione.

Quando una raccomandazione richiede un'analisi più approfondita

Torniamo all'esempio iniziale.

Rule Recommendation propone di creare una nuova regola sopra una regola esistente, perché quest'ultima è troppo ampia.

Perché è un aspetto rilevante?

Le regole del firewall vengono valutate in base al comportamento della policy del dispositivo e all'ordine delle regole. La posizione di una regola proposta può incidere sulla gestione del traffico.

Prima di accettare la raccomandazione, occorre esaminare la regola esistente e capire come la modifica proposta si inserisce nella policy.

Workbench consente di esaminare le regole di sicurezza, i network object e i service object pertinenti. È possibile verificare la posizione proposta e stabilire se l'impostazione raccomandata sia adeguata.

Quando le raccomandazioni sono incomplete o non disponibili

In alcuni casi Rule Recommendation non è in grado di produrre un risultato completo.

La causa può essere un'informazione mancante, la selezione del dispositivo, una configurazione non supportata o un'altra condizione che incide sull'analisi.

Workbench fornisce le informazioni utili ad analizzare il problema. Dove possibile, si può correggere l'anomalia e richiedere nuovamente le raccomandazioni.

Se la raccomandazione continua a non essere disponibile, Workbench consente comunque di progettare la modifica manualmente, nei limiti delle funzionalità e dei permessi dell'ambiente.

Modifiche raccomandate e modifiche manuali possono confluire nello stesso change plan: gli engineer proseguono così il lavoro senza dipendere interamente dall'automazione.

Come utilizzare Policy Workbench: dalla raccomandazione al change plan

Riprendiamo lo scenario iniziale.

Una richiesta di accesso impone una modifica alla policy del firewall. Rule Recommendation propone di aggiungere una nuova regola sopra una regola esistente, perché quest'ultima è troppo ampia.

Ecco come un engineer può valutare la raccomandazione e preparare il change plan in Workbench.

Passaggio 1: definire il requisito di accesso

Si parta dalla richiesta di accesso, non dalla regola firewall proposta.

Verificare sorgente, destinazione, servizi necessari e finalità di business. Sono questi dettagli a definire l'obiettivo della modifica.

Ad esempio, una richiesta di comunicazione tra due sistemi deve indicare con precisione quali sistemi necessitano dell'accesso e quali servizi utilizzano.

Da evitare l'assunto che i permessi più ampi di una regola esistente debbano essere estesi al nuovo accesso.

L'obiettivo è soddisfare la richiesta con un accesso dall'ambito correttamente definito.

Passaggio 2: aprire il change plan in Workbench

In Policy Planner, individuare il ticket e il requisito per cui serve un change plan.

Espandere il requisito e selezionare Aggiungi Change Plan. Il Change Plan Editor si apre in una nuova scheda del browser.

L'editor dà accesso alle raccomandazioni sulle regole, alle modifiche manuali supportate e alle informazioni di policy necessarie per progettare la modifica.

Prima di richiedere le raccomandazioni, verificare che il requisito descriva con precisione l'accesso previsto.

Passaggio 3: esaminare la raccomandazione sulle regole

Selezionare Richiedi Suggerimenti per avviare il processo di generazione dei suggerimenti. Quando i risultati sono disponibili, selezionare Visualizza Suggerimenti.

Rule Recommendation individua i dispositivi interessati e propone le modifiche sulla base delle informazioni disponibili sulle policy, della configurazione del workflow e dei permessi utente.

Nel nostro scenario il risultato suggerisce di creare una nuova regola al di sopra di una regola esistente, perché quest'ultima è troppo permissiva.

Prima di selezionarlo, esaminare il dispositivo, la regola e il posizionamento proposti.

Nelle versioni supportate, Informazioni su Questo Suggerimento fornisce contesto aggiuntivo sul motivo per cui una determinata azione è stata proposta.

Utilizzare queste informazioni per comprendere il suggerimento prima di decidere se includerlo nel piano di modifica.

Fase 4: analizzare la policy esistente e perfezionare il design

Il suggerimento individua una possibile modifica. A questo punto occorre valutare se abbia senso.

Con Workbench è possibile analizzare la regola di sicurezza esistente e gli oggetti di rete e di servizio associati.

Verificare che cosa consente la regola attuale e come il suo ambito si rapporta all'accesso richiesto.

Nel nostro esempio la domanda chiave è se l'inserimento di una regola più specifica al di sopra di quella esistente risponda correttamente alla richiesta.

Esaminare origine, destinazione, servizi e posizionamento della regola proposta. Valutare se sia coerente con le naming convention adottate e con i requisiti delle policy interne.

Se il suggerimento è adeguato, selezionarlo per includerlo nel piano di modifica.

Se richiede aggiustamenti, Workbench consente di modificare manualmente regole e oggetti sui dispositivi supportati: è possibile preparare una modifica diversa oppure integrare i suggerimenti selezionati dove necessario.

Le azioni di modifica disponibili dipendono dal dispositivo, dalla configurazione delle policy, dai permessi e dal workflow supportato.

Durante il lavoro, il pannello Change Plan mostra le modifiche in corso di composizione, così da esaminare insieme suggerimenti e interventi manuali invece di gestirli come attività separate.

L'obiettivo è un design completo e coerente, in grado di soddisfare il requisito di accesso.

Fase 5: salvare il piano di modifica e verificare il rischio prima dell'implementazione

Prima di salvare, rivedere il piano di modifica appena composto.

Verificare che siano inclusi i dispositivi e le policy corretti. Controllare le definizioni delle regole proposte, gli oggetti e il posizionamento. Accertarsi che le eventuali modifiche manuali siano coerenti con i suggerimenti selezionati.

Quando il piano è pronto, selezionare Salva.

Il salvataggio conserva le modifiche proposte, ma non le applica sul firewall.

È qui che l'analisi di rischio e compliance pre-modifica di FireMon diventa determinante.

Mentre il ticket avanza nel workflow di Policy Planner, FireMon può simulare le modifiche proposte e valutarle rispetto ai controlli di sicurezza e compliance applicabili, prima dell'implementazione.

Queste valutazioni aiutano a capire se una modifica proposta introdurrebbe non conformità rispetto alle policy o aumenterebbe il rischio. Invece di approvare una modifica solo perché soddisfa la richiesta di accesso, gli engineer possono valutarne il potenziale impatto sulla sicurezza.

Se la valutazione evidenzia criticità, il team può esaminare i risultati e stabilire se il piano di modifica debba essere rivisto prima dell'approvazione.

È una distinzione importante: una modifica può soddisfare l'accesso richiesto e introdurre comunque un rischio inaccettabile.

Combinando le funzionalità di progettazione delle modifiche di Workbench con le valutazioni pre-modifica di Policy Planner, gli engineer procedono con un quadro più chiaro degli effetti della modifica e della sua coerenza con i requisiti di sicurezza dell'organizzazione.

Una volta completate le valutazioni e le approvazioni richieste, il ticket può passare alle fasi di implementazione e verifica secondo il workflow configurato.

Cosa verificare prima di procedere

Un piano di modifica completo deve descrivere con chiarezza che cosa va modificato e perché.

Prima di far avanzare il ticket, è opportuno rispondere a cinque domande.

L'accesso proposto corrisponde al requisito? Verificare che origine, destinazione, servizi e finalità di business siano coerenti con la richiesta iniziale. Prestare attenzione ai permessi inutilmente ampi.

I dispositivi, gli oggetti e il posizionamento della regola sono corretti? Esaminare come le modifiche proposte interagiscono con la policy esistente. Nel nostro esempio, confermare che l'inserimento di una regola al di sopra di quella più ampia produca il comportamento desiderato.

Gli avvisi o i suggerimenti incompleti sono stati gestiti? Approfondire gli errori nei suggerimenti o le informazioni mancanti. Un risultato incompleto non significa che non siano necessarie modifiche.

Quali analisi e approvazioni restano da completare? Individuare le valutazioni di rischio, i controlli di compliance e le approvazioni di workflow necessari prima dell'implementazione.

Come verrà verificato l'accesso previsto? Stabilire in che modo confermare che la modifica funzioni come previsto e non apra accessi indesiderati dopo il deployment.

Questi controlli garantiscono che la modifica proposta sia pronta per la fase successiva del processo.

Mettere a frutto i suggerimenti sulle regole e l'esperienza di chi opera sul campo

Rule Recommendation aiuta gli engineer a individuare dove possano servire modifiche e quali azioni possano soddisfare una richiesta di accesso.

Policy Workbench fornisce il contesto e la flessibilità necessari per decidere come procedere.

Quando i suggerimenti sono chiari, è sufficiente esaminarli e selezionarli. Quando una modifica proposta richiede ulteriori approfondimenti, si può analizzare la policy esistente. E quando i suggerimenti sono incompleti, la progettazione manuale sui dispositivi supportati consente comunque di completare il piano.

Il risultato è un approccio più concreto alla progettazione delle modifiche sui firewall: l'automazione svolge il lavoro preparatorio, gli engineer prendono le decisioni che contano.

Esplorate Policy Workbench per scoprire come FireMon unisce i suggerimenti automatici sulle regole alla progettazione diretta delle modifiche alle policy.