Policy Planner Workbench 101: quando e como usá-lo

Chega uma solicitação de mudança de firewall para liberar o acesso entre dois sistemas. O FireMon Rule Recommendation identifica o firewall relevante e sugere adicionar uma nova regra acima de uma regra existente, porque a regra existente é ampla demais.

A recomendação oferece um ponto de partida. Mas, antes de prosseguir, é preciso entender a regra existente, avaliar o posicionamento proposto e confirmar que a mudança atende à solicitação sem introduzir acessos desnecessários.

É aí que entra o FireMon Policy Planner Workbench.

O Workbench é a nova interface de Change Plan dentro do FireMon Policy Planner. Ele oferece um espaço de trabalho unificado para revisar recomendações de regras, inspecionar as políticas existentes e projetar mudanças manualmente. Ele muda a forma como os engenheiros interagem com os change plans, não as capacidades ou os workflows subjacentes do Policy Planner.

Veja quando usar o Workbench e como passar de uma recomendação para um change plan.

Onde o Policy Workbench se encaixa na gestão de mudanças de firewall

Uma mudança de firewall envolve mais do que decidir qual regra adicionar. Os engenheiros precisam de visibilidade do ambiente existente, de uma forma de projetar a mudança e de um processo para revisá-la e implementá-la.

A FireMon apoia essas atividades por meio de capacidades integradas.

O Security Manager fornece o contexto das políticas. Ele dá aos engenheiros visibilidade sobre regras de firewall, objetos e configurações nos dispositivos suportados.

O Policy Planner gerencia o processo de mudança. Ele oferece workflows estruturados para criar, analisar, aprovar, implementar e verificar mudanças nas políticas de firewall.

O Rule Recommendation sugere mudanças possíveis. Ele analisa o acesso solicitado para identificar dispositivos e recomendar as mudanças de política adequadas. Dependendo do ambiente, pode recomendar adicionar uma regra, modificar uma regra existente ou não executar nenhuma ação quando o acesso já existe.

O Workbench fornece a interface de design do Change Plan. Como parte do Policy Planner, ele reúne recomendações de regras, inspeção de políticas e design manual em um editor unificado baseado em tabelas. Os engenheiros podem criar ou modificar regras e objetos suportados mantendo a visibilidade do contexto normalizado das políticas.

O Workbench não substitui o Rule Recommendation nem altera as capacidades de workflow subjacentes do Policy Planner. Ele dá aos engenheiros uma forma mais flexível de trabalhar com esses recursos.

Os engenheiros podem avaliar recomendações, investigar as políticas existentes e projetar mudanças manualmente quando as recomendações estão incompletas ou precisam de ajustes.

A distinção é importante: salvar um change plan proposto no Workbench não implanta as mudanças em um firewall. O plano segue pelo workflow aplicável do Policy Planner antes da implementação.

Quando usar o Policy Workbench

Nem toda mudança de firewall exige o mesmo nível de investigação. Algumas recomendações são diretas. Outras levantam dúvidas sobre regras existentes, posicionamento na política ou informações ausentes.

O Workbench atende a três situações comuns.

Quando as recomendações de regras atendem à solicitação

Suponha que o Rule Recommendation identifique o firewall relevante e proponha adicionar uma regra que atenda ao acesso solicitado.

Você pode inspecionar a mudança proposta, revisar a política afetada e selecionar a recomendação, se for adequada.

O objetivo não é repetir manualmente o processo de recomendação. É confirmar que a mudança proposta atende ao requisito e segue os padrões de política da sua organização.

Quando uma recomendação exige inspeção mais detalhada

Considere o exemplo apresentado no início.

O Rule Recommendation sugere criar uma nova regra acima de uma regra existente, porque a regra existente é ampla demais.

Por que isso importa?

As regras de firewall são avaliadas conforme o comportamento de política do dispositivo e a ordem das regras. A posição de uma regra proposta pode afetar a forma como o tráfego é tratado.

Antes de aceitar a recomendação, é preciso inspecionar a regra existente e entender como a mudança proposta se encaixa na política.

O Workbench permite examinar as regras de segurança, os objetos de rede e os objetos de serviço relevantes. Você pode revisar o posicionamento proposto e decidir se o design recomendado é adequado.

Quando as recomendações estão incompletas ou indisponíveis

Às vezes, o Rule Recommendation não consegue gerar um resultado completo.

A causa pode ser uma informação ausente, a seleção do dispositivo, uma configuração não suportada ou outra condição que afete a análise.

O Workbench fornece informações para ajudar a investigar o problema. Você pode corrigir a questão quando possível e solicitar as recomendações novamente.

Se a recomendação continuar indisponível, o Workbench também oferece suporte ao design manual da mudança, dentro das capacidades e permissões do ambiente.

Mudanças recomendadas e manuais podem compor o mesmo change plan, permitindo que os engenheiros sigam trabalhando sem depender totalmente da automação.

Como usar o Policy Workbench: da recomendação ao change plan

Antes de começar, confirme se o Workbench está habilitado no seu ambiente.

O Workbench é opcional e é ativado por meio de uma chamada de API com o apoio do FireMon Support. No momento da disponibilidade geral, ele suporta apenas o workflow Access Request. Enquanto o Workbench estiver habilitado, tickets de outros workflows não podem ser processados; para tratar esses tickets, é necessário desabilitar o Workbench.

As tarefas de workflow e os processos de aprovação existentes permanecem inalterados.

Vamos retomar o cenário inicial.

Uma solicitação de acesso exige uma mudança na política de firewall. O Rule Recommendation sugere adicionar uma nova regra acima de uma regra existente, porque essa regra é ampla demais.

Veja como um engenheiro pode avaliar a recomendação e preparar o change plan no Workbench.

Etapa 1: Defina o requisito de acesso

Comece pela solicitação de acesso, não pela regra de firewall proposta.

Confirme a origem, o destino, os serviços necessários e a finalidade de negócio. Esses detalhes definem o que a mudança precisa alcançar.

Por exemplo, uma solicitação para permitir a comunicação entre dois sistemas deve identificar exatamente quais sistemas precisam de acesso e quais serviços são exigidos.

Evite presumir que as permissões mais amplas de uma regra existente devam ser estendidas ao novo acesso.

O objetivo é atender à solicitação com um acesso de escopo adequado.

Etapa 2: Abra o change plan no Workbench

No Policy Planner, localize o ticket e o requisito que precisa de um change plan.

Expanda o requisito e selecione Add Change Plan. O Change Plan Editor é aberto em uma nova aba do navegador.

O editor dá acesso às recomendações de regras, às mudanças manuais suportadas e às informações de política necessárias para projetar a mudança.

Antes de solicitar recomendações, confirme se o requisito descreve com precisão o acesso pretendido.

Etapa 3: Revise a recomendação de regra

Selecione Solicitar Recomendações para executar o processo de recomendação. Quando os resultados estiverem disponíveis, selecione Visualizar Recomendações.

A Recomendação de Regras identifica possíveis dispositivos e sugere mudanças com base nas informações de política disponíveis, na configuração do workflow e nas permissões do usuário.

No nosso cenário, o resultado recomenda criar uma nova regra acima de uma regra existente, porque essa regra é ampla demais.

Antes de selecioná-la, examine o dispositivo, a regra e o posicionamento propostos.

Nas versões compatíveis, Sobre Esta Recomendação oferece contexto adicional explicando por que determinada ação foi sugerida.

Use essas informações para compreender a recomendação antes de decidir se ela deve ser incluída no plano de mudanças.

Etapa 4: Inspecione a política existente e refine o desenho

A recomendação identifica uma possível mudança. Agora cabe a você determinar se ela faz sentido.

Use o Workbench para inspecionar a regra de segurança existente e seus objetos de rede e de serviço associados.

Observe o que a regra atual permite e como o escopo dela se compara ao acesso solicitado.

No nosso exemplo, a questão central é se a inclusão de uma regra mais específica acima da regra existente atenderá corretamente à solicitação.

Revise a origem, o destino, os serviços e o posicionamento da regra proposta. Avalie se ela está alinhada às convenções de nomenclatura estabelecidas e aos requisitos de política internos.

Se a recomendação for adequada, selecione-a para o plano de mudanças.

Caso precise de ajustes, o Workbench permite mudanças manuais de regras e objetos em dispositivos compatíveis. Você pode preparar uma mudança diferente ou complementar as recomendações selecionadas quando necessário.

As ações de edição disponíveis dependem do dispositivo, da configuração da política, das permissões e do workflow compatível.

À medida que você trabalha, o painel Plano de Mudanças exibe as mudanças que estão sendo montadas. Isso permite revisar em conjunto as recomendações e as mudanças manuais, em vez de tratá-las como atividades separadas.

O objetivo é um desenho completo e consistente que atenda ao requisito de acesso.

Etapa 5: Salve o plano de mudanças e valide o risco antes da implementação

Antes de salvar, revise o plano de mudanças montado.

Confirme que os dispositivos e as políticas adequados estão incluídos. Verifique as definições de regra, os objetos e o posicionamento propostos. Certifique-se de que eventuais mudanças manuais complementem as recomendações selecionadas.

Quando o plano estiver pronto, selecione Salvar.

Salvar preserva as mudanças propostas. Não as implementa no firewall.

É nesse ponto que a análise de risco e compliance pré-mudança da FireMon se torna essencial.

À medida que o ticket avança pelo workflow do Policy Planner, a FireMon pode simular as mudanças propostas e avaliá-las em relação aos controles de segurança e compliance aplicáveis antes da implementação.

Essas avaliações ajudam a identificar se uma mudança proposta introduziria não conformidades de política ou aumentaria o risco. Em vez de aprovar uma mudança apenas por ela atender à solicitação de acesso, os engenheiros podem avaliar seu potencial impacto de segurança.

Se a avaliação identificar problemas, a equipe pode analisar os resultados e determinar se o plano de mudanças precisa ser revisado antes da aprovação.

Essa é uma distinção importante. Uma mudança pode atender ao acesso solicitado e, ainda assim, introduzir risco inaceitável.

Ao combinar a interface de desenho de mudanças do Workbench com as avaliações pré-mudança do Policy Planner, os engenheiros avançam com uma compreensão mais clara do que a mudança fará e de sua aderência aos requisitos de segurança da organização.

Concluídas as avaliações e aprovações necessárias, o ticket pode seguir para implementação e verificação conforme o workflow configurado.

O que verificar antes de avançar

Um plano de mudanças concluído deve descrever com clareza o que precisa mudar e por quê.

Antes de avançar o ticket, revise cinco perguntas.

• O acesso proposto corresponde ao requisito? Confirme que origem, destino, serviços e finalidade de negócio estão alinhados à solicitação original. Atenção a permissões amplas demais.
• Os dispositivos, os objetos e o posicionamento da regra são adequados? Examine como as mudanças propostas interagem com a política existente. No nosso exemplo, confirme se inserir uma regra acima da regra mais ampla produz o comportamento pretendido.
• Os avisos ou as recomendações incompletas foram tratados? Investigue erros de recomendação ou informações ausentes. Não presuma que um resultado incompleto significa que nenhuma mudança é necessária.
• Quais análises e aprovações ainda faltam? Identifique as avaliações de risco, as verificações de compliance e as aprovações de workflow exigidas antes da implementação.
• Como o acesso pretendido será verificado? Defina como você confirmará que a mudança funciona conforme o esperado e não introduz acessos não pretendidos após a implantação.

Essas verificações ajudam a garantir que a mudança proposta esteja pronta para a próxima etapa do processo.

Aproveite as recomendações de regra e o julgamento do especialista

A Recomendação de Regras ajuda os engenheiros a identificar onde pode haver necessidade de mudanças e quais ações atenderiam a uma solicitação de acesso.

O Policy Planner Workbench oferece a eles uma interface unificada para avaliar essas recomendações e desenhar o plano de mudanças.

Quando as recomendações são claras, os engenheiros podem revisá-las e selecioná-las. Quando uma mudança proposta exige mais investigação, eles podem inspecionar a política existente. E quando as recomendações estão incompletas, o desenho manual compatível oferece um caminho para continuar construindo o plano.

O resultado é uma abordagem mais prática para o desenho de mudanças em firewalls, com recomendações automatizadas, contexto de política e julgamento do especialista atuando em conjunto.

Conheça o Policy Planner para saber como a FireMon reúne desenho de mudanças, avaliação de risco, aprovações e implementação em um workflow controlado.