Palo Alto - Firewall - Boas Práticas para configuração de URL Filtering

Categorias de URL liberadas por padrão

• auctions
• business-and-economy
• computer-and-internet-info
• content-delivery-networks
• educational-institutions
• entertainment-and-arts
• financial-services
• government
• health-and-medicine
• home-and-garden
• hunting-and-fishing
• internet-portals
• job-search
• legal
• military
• motor-vehicles
• news
• personal-sites-and-blogs
• philosophy-and-political-advocacy
• real-estate
• real-time-detection
• recreation-and-hobbies
• reference-and-research
• religion
• search-engines
• sex-education
• shopping
• society
• sports
• stock-advice-and-tools
• swimsuits-and-intimate-apparel
• training-and-tools
• translation
• travel
• web-advertisements
• web-hosting

Categorias de URL que precisam de atenção pois dependem de como foram definidas as regras de negócio. Precisam estar de acordo com a política de acesso a Internet da sua empresa. São categorias relacionadas a serviços de armazenamento online, download de arquivos, redes sociais, acesso a e-mail externo, etc.

• Cryptocurrency
• Internet Communications and Telephony
• Music
• Online Storage and Backup
• Shareware and Freeware
• Social Networking
• Streaming Media
• Web-based Email

Categorias de URL que a Palo Alto recomenda o bloqueio por serem maliciosas, por apresentarem algum serviço de exploração de vulnerabilidades, ameaça ou pelo fato de ainda não possuírem uma classificação.

• command-and-control
• copyright-infringement
• dynamic-dns
• extremism
• grayware
• malware
• newly-registered-domain
• parked
• phishing
• proxy-avoidance-and-anonymizers
• questionable
• unknown

Categorias de URL que são bloqueadas por padrão

• abortion
• abused-drugs
• adult
• alcohol-and-tobacco
• dating
• gambling
• games
• hacking
• insufficient-content
• not-resolved
• nudity
• peer-to-peer
• private-ip-addresses
• ransomware
• weapons

Categorias de URL utilizadas pela Palo Alto como auxiliares. As URLs podem ter mais de uma classificação (4) incluindo uma categoria de risco. Essa categorias foram definidas a partir da versão PAN-OS 9.0.

• high-risk
• low-risk
• medium-risk

Palo Alto - Firewall - URL Filtering - Categorias de URL

Lista das categorias de URLs atualmente definidas para os firewalls da Palo Alto.

• abortion
• abused-drugs
• adult
• alcohol-and-tobacco
• auctions
• business-and-economy
• command-and-control
• computer-and-internet-info
• content-delivery-networks
• copyright-infringement
• cryptocurrency
• dating
• dynamic-dns
• educational-institutions
• entertainment-and-arts
• extremism
• financial-services
• gambling
• games
• government
• grayware
• hacking
• health-and-medicine
• high-risk
• home-and-garden
• hunting-and-fishing
• insufficient-content
• internet-communications-and-telephony
• internet-portals
• job-search
• legal
• low-risk
• malware
• medium-risk
• military
• motor-vehicles
• music
• newly-registered-domain
• news
• not-resolved
• nudity
• online Storage and Backup
• parked
• peer-to-peer
• personal-sites-and-blogs
• philosophy-and-political-advocacy
• phishing
• private-ip-addresses
• proxy-avoidance-and-anonymizers
• questionable
• ransomware
• real-estate
• real-time-detection
• recreation-and-hobbies
• reference-and-research
• religion
• search-engines
• sex-education
• shareware and Freeware
• shopping
• social Networking
• society
• sports
• stock-advice-and-tools
• streaming Media
• swimsuits-and-intimate-apparel
• training-and-tools
• translation
• travel
• unknown
• weapons
• web-advertisements
• web-based email
• web-hosting

___________________________________________________________

Mais informações:

• Palo Alto Networks URL filtering - Test A Site
• URL Categories (paloaltonetworks.com)

Palo Alto - Firewall - Verificação de status da interface de gerência

Verificar as configurações da interface de gerência

 
 # show deviceconfig

Verificar informações da interface de gerência

 
 > show interface management

Visualizar serviços ativos na interface de gerência

  > show system services

Verificar informações definidas para a CLI

 > show cli info

Verificar timeout de sessão da CLI

 > show cli idle-timeout

Verificar permissões definidas para a CLI

 > show cli permissions

Verificar tabela ARP

 > show arp management

________________________________________________

As informações contidas acima foram baseadas em documentos publicados pela Palo Alto Networks e obtidas através da experiência com o equipamento. Os comandos utilizados são referentes a versão PAN-OS 8.1.5.

Palo Alto - Firewall - Configuração da interface de gerência

Definir endereçamento IP para a interface de gerência (MGT)

 # set deviceconfig system ip-address <endereço IP> <máscara de rede>

Definir default-gateway para a interface de gerência (MGT)

 # set deviceconfig system default-gateway <endereço IP do gateway>

Definir servidor DNS para a interface de gerência (MGT)

 # set deviceconfig system dns-setting servers primary <endereço IP do DNS>

Restringir acesso a gerência do firewall

 # set deviceconfig system permitted-ip <endereço IP/máscara de rede>

Permitir acesso HTTP a interface de gerência

 # set deviceconfig system service disable-http no

Permitir acesso HTTPS a interface de gerência

 # set deviceconfig system service disable-https no

________________________________________________

As informações contidas acima foram baseadas em documentos publicados pela Palo Alto Networks e obtidas através da experiência com o equipamento. Os comandos utilizados são referentes a versão PAN-OS 8.1.5.

Firewall Cisco ASA - Verificar status de conexões VPN

Verificar informações de sessões VPN

 # show vpn-sessiondb

ou

 # show vpn-sessiondb [anyconnect | l2l | ra-ikev1-ipsec | webvpn]

Verificar o status de sessões VPN Site-to-Site

 # show vpn-sessiondb l2l filter name <nome da conexão>

Verificar informações de túneis IPsec

 # show vpn-sessiondb detail l2l

Verificar o status de sessões VPN Client-to-Site (L2TP over IPsec)

 # show vpn-sessiondb ra-ikev1-ipsec filter name <nome do usuário>

Verificar o status de sessões VPN Anyconnect

 # show vpn-sessiondb anyconnect filter name <nome do usuário>

Verificar status de sessões SSL VPN

 # show vpn-sessiondb webvpn filter name <nome do usuário>

Verificar o status das SAs (Security Associations) (Fase1)

 # show crypto [ikev1 | ikev2] sa [detail]

Verificar o status das SAs (Security Associations) (Fase2)

 # show crypto ipsec sa [detail]

 _________________________________________

As informações contidas neste post são baseadas em documentos publicados no site da Cisco e obtidas através da experiência com o próprio equipamento. Para o exemplo mostrado foi utilizado um Firewall Cisco ASA modelo 5510 com versão de software 9.1.

Firewall Cisco ASA - Verificar configurações de VPN

Verificar configurações ativas

 # show running-configuration crypto

Esse comandos mostra todas as configurações relacionadas ao serviço de VPN. Com ele você pode visualizar as informações de IPsec, crypto maps, certificados e ISAKMP.


Verificar configurações do IKE Policy (Fase1)

 # show running-config crypto [ikev1 | ikev2]

Verificar configurações do IPsec (Fase2)

 # show running-config crypto ipsec

Verificar configurações de Group-Policy

 # show running-config group-policy

Verificar configurações de Túneis VPN

 # show running-config tunnel-group

Verificar configurações de Cypto Map

 # show running-config crypto map

ou

 # show running-config crypto dynamic-map

Verificar as configurações de access-lists

 # show running-config access-list

ou

 # show access-list  <nome da ACL>

Verificar as configurações de SSL VPN

 # show running-config webvpn

 _________________________________________

As informações contidas neste post são baseadas em documentos publicados no site da Cisco e obtidas através da experiência com o próprio equipamento. Para o exemplo mostrado foi utilizado um Firewall Cisco ASA modelo 5510 com versão de software 9.1.

Firewall Cisco ASA - Configurando uma VPN IPsec Site-to-Site (IKEv2)

Neste post estão relacionados os comandos básicos para a criação de um túnel IPsec Site-to-Site utilizando o método de autenticação IKEv2. Nos testes realizados foram utilizados dois firewalls Cisco ASA modelo 5510 com versão de software 9.1.

Para a configuração da VPN você precisará criar um perfil de conexão onde serão definidos os parâmetros para o estabelecimento do túnel. Uma conexão VPN ocorre em duas etapas, chamadas de fase 1 e fase 2. Em cada uma delas nós indicamos os algoritmos de criptografia e hash que serão utilizados. Para a autenticação dos dispositivos nós usaremos uma chave pré-compartilhada (PSK).

ETAPAS

1. Criação de uma IKE Policy (Definição dos parâmetros da fase 1);
2. Habilitar a IKE Policy na interface outside;
3. Criação do IPsec-Proposal (Definição dos parâmetros da fase 2);
4. Criação de um Tunnel Group;
5. Criação de uma ACL (Definição do tráfego de interesse);
6. Configuração do Crypto Map;

......................................................

CONFIGURAÇÃO

1. Criação da IKE Policy (Fase 1)

 # crypto ikev2 policy <priority>

Na criação de uma política IKEv2 são definidos os parâmetros de criptografia, hash, autenticação, Diffie-Hellman e lifetime. Uma vez criada a política ela poderá ser utilizada em outros perfis de conexão VPN. 

Você precisará atribuir um número de prioridade para cada política. O interessante é definir um conjunto de combinações de encryption e hash e posicionar as cifras mais fortes primeiro (Menor valor de priority). No momento da negociação de uma SA os pares tentam encontrar uma configuração correspondente entre as várias políticas existentes respeitando a ordem de prioridade.

 # encryption <algoritmo de criptografia>

Você deve especificar um algoritmo de criptografia entre as opções disponíveis para a proteção dos dados.

Opções:
3des        - 3des encryption
aes         - aes-128 encryption
aes-192     - aes-192 encryption
aes-256     - aes-256 encryption
des         - des encryption

 # integrity <algoritmo de hash>

Nesse ponto é preciso especificar um algoritmo de hash que será utilizado pelos pares para garantir que as mensagens não tenham sido modificadas durante a transmissão.

Opções:
md5     - set hash md5
sha     - set hash sha1

sha256  - set hash sha256

sha384  - set hash sha384

sha512  - set hash sha512

 # group <ID do grupo Diffie-Hellman >

Você deve especificar o ID do grupo Diffie-Hellman entre as opções disponíveis. O Firewall ASA utiliza esse algoritmo para derivar as chaves de criptografia e hash. O grupo default é 2.

Opções:
1     - Diffie-Hellman group 1
2     - Diffie-Hellman group 2
5     - Diffie-Hellman group 5

14    - Diffie-Hellman group 14

19    - Diffie-Hellman group 19

20    - Diffie-Hellman group 20

21    - Diffie-Hellman group 21

24    - Diffie-Hellman group 24

 # lifetime <valor em segundos>

Você deve especificar o valor do lifetime para a Secure Association. Esse valor corresponde ao período de tempo para o uso das chaves de criptografia. Ao término desse período a chave é substituída. Se os valores definidos não forem correspondentes entre os dispositivos envolvidos, será escolhido o menor valor. O default é 86400 (24horas).


EXEMPLO
(config)# crypto ikev2 policy 1
(config-ikev2-policy)# encryption aes-256
(config-ikev2-policy)# integrity sha256
(config-ikev2-policy)# group 2
(config-ikev2-policy)# lifetime 28800



2 . Habilitar a IKE Policy na interface outside

 # crypto ikev2 enable <nome da interface outside>

O comando permite habilitar o IKEv2 na interface de saída do firewall.



3 . Criação do IPsec Proposal (Fase 2)

 # crypto ipsec ikev2 ipsec-proposal <Nome do IPsec>

 # protocol esp encryption [ 3des | aes | aes-192 | aes-256 | des ]

 # protocol esp integrity [ md5 | sha-1 ] 

O transform-set é utilizado pelos pares durante as negociações de uma associação de segurança para o estabelecimento de uma VPN IPsec. Você precisará indicar um nome para a identificação do transform set e definir os algoritmos de criptografia e hash utilizados para esse túnel. 

Abaixo estão indicadas as opções disponíveis. Ao definir essas opções elas poderão ser utilizadas em outros perfis de conexão VPN.

EXEMPLO
(config)# crypto ipsec ikev2 ipsec-proposal ESP-AES-256-SHA-256

(config-ipsec-proposal)# protocol esp encryption aes-256

(config-ipsec-proposal)# protocol esp integrity sha-1



4 . Criação de um Tunnel Group 

 # tunnel-group <endereço IP do peer> type ipsec-l2l
 # tunnel-group <endereço IP do peer> ipsec-attributes
 # ikev2 local-authentication pre-shared-key <chave compartilhada> 
 # ikev2 remote-authentication pre-shared-key <chave compartilhada>

Nessa etapa é realizada a configuração do Tunnel Group onde você informará o endereço IP do dispositivo remoto definindo o nome para a conexão e indicará a chave pré-compartilhada utilizada para o estabelecimento da VPN.

5 . Criação de uma Access-list (Classificação do tráfego de interesse)

 # access-list <nome da ACL> line <número> extended permit <protocolo> <objeto/endereço de origem> <objeto/endereço de destino>

Nessa etapa é criada uma access-list para a definição do tráfego que será encriptado no túnel VPN. No firewall ASA podem ser criados objetos e grupos de objetos para auxiliar nessa atividade. Essa access-list será vinculada a uma Crypto Map.

EXEMPLO
Objeto/Endereço de origem

(config)# object network REDE-Marketing

(config-network-object)# subnet 10.100.1.0 255.255.255.0

Objeto/Endereço de destino

(config)# object network REDE-EmpresaABC

(config-network-object)# subnet 192.168.100.0 255.255.255.0

ACL

access-list ACL_CryptoMap_1 line 1 extended permit ip object REDE-Marketing object REDE-EmpresaABC

6 . Configuração do Crypto Map

 # crypto map <Nome do Crypto Map> <número/id> set peer <endereço ip do peer>

Nessa etapa você configurará o Crypto Map, definirá um nome para ele e um ID e informará o endereço IP do par remoto.

 # crypto map <Nome do Crypto Map> <número/id> set ikev2 ipsec-proposal <Nome do transform-set>

Nesse comando você indicará o nome do perfil do ipsec transform-set configurado anteriormente (Passo 3).

 # crypto map <Nome do Crypto Map> <número/id> match address <Nome da access-list>

Aqui você indicará o nome da access-list criada anteriormente (Passo 5).

 # crypto map <Nome do Crypto Map> interface <nome da interface outside>

Nesse comando você indicará a interface de saída utilizada para o estabelecimento da VPN.

EXEMPLO

crypto map vpn_crypto_map 1 set peer <endereço ip do peer>

crypto map vpn_crypto_map 1 set ikev2 ipsec-proposal ESP-AES-256-SHA

crypto map vpn_crypto_map 1 match address ACL_CryptoMap_1

crypto map vpn_crypto_map interface outside

 _________________________________________

As informações contidas neste post são baseadas em documentos publicados no site da Cisco e obtidas através da experiência com o próprio equipamento. Para o exemplo mostrado foram utilizados Firewalls Cisco ASA modelo 5510 com versão de software 9.1.

Firewall Cisco ASA - Configurando uma VPN IPsec Site-to-Site (IKEv1)

Neste post foram relacionados os comandos básicos para a criação de um túnel IPsec Site-To-Site utilizando o método de autenticação IKEv1. Nos testes realizados foram utilizados dois firewalls Cisco ASA modelo 5510 com versão de software 9.1.

É bom lembrar que o IKEv1 está obsoleto e é recomendado a sua substituição pelo IKEv2 (RFC 8247). As informações contidas abaixo servem apenas para mostrar como o serviço é implementado nessa versão pois em breve irei publicar as etapas necessárias para a criação de um perfil de conexão VPN com o IKEv2.

......................................................

Para a configuração da VPN é necessário cumprir algumas etapas. Na configuração via CLI é criado um perfil de conexão onde definimos os parâmetros para o estabelecimento do túnel VPN. A conexão ocorre em duas etapas, chamadas de fase 1 e fase 2. Em cada uma delas nós indicamos os algoritmos de criptografia e hash que serão utilizados. Para a autenticação dos dispositivos nós usaremos uma chave pré-compartilhada (PSK).
ETAPAS

1. Criação de uma IKE Policy (Definição dos parâmetros da fase 1);
2. Habilitar a IKE Policy na interface outside;
3. Criação do IPsec Transform (Definição dos parâmetros da fase 2);
4. Criação de um Tunnel Group;
5. Criação de uma ACL (Definição do tráfego de interesse);
6. Configuração do Crypto Map;
7. Criação de uma política de exceção de NAT (Opcional);

......................................................

CONFIGURAÇÃO

1. Criação da IKE Policy (Fase 1)
Na criação de uma política IKEv1 são definidos os parâmetros de criptografia, hash, autenticação, Diffie-Hellman e lifetime. Uma vez criada a política ela poderá ser utilizada em outros perfis de conexão VPN.

 # crypto ikev1 policy <priority>

Você precisará atribuir um número de prioridade para cada política. O interessante é definir um conjunto de combinações de encryption e hash e posicionar as cifras mais fortes primeiro (Menor valor de priority). No momento da negociação de uma SA os pares tentam encontrar uma configuração correspondente entre as várias políticas existentes respeitando a ordem de prioridade.

 # authentication pre-share

Para autenticação é possível utilizar o RSA através de certificado digital ou chave pré-compartilhada (PSK). Na opção acima está indicado apenas a opção de chave compartilhada.

 # encryption <algoritmo de criptografia>

Você deve especificar um algoritmo de criptografia entre as opções disponíveis para a proteção dos dados.

Opções:
. 3des: 3des encryption
. aes: aes-128 encryption
. aes-192: aes-192 encryption
. aes-256: aes-256 encryption
. des: des encryption

 # hash <algoritmo de hash>

Nesse ponto é preciso especificar um algoritmo de hash que será utilizado pelos pares para garantir que as mensagens não tenham sido modificadas durante a transmissão.

Opções:
. md5: set hash md5
. sha: set hash sha1

 # group <ID do grupo Diffie-Hellman >

Você deve especificar o ID do grupo Diffie-Hellman entre as opções disponíveis. O Firewall ASA utiliza esse algoritmo para derivar as chaves de criptografia e hash. O grupo default é 2.

Opções:
. 1: Diffie-Hellman group 1
. 2: Diffie-Hellman group 2
. 5: Diffie-Hellman group 5

 # lifetime <valor em segundos>

Você deve especificar o valor do lifetime para a Secure Association. Esse valor corresponde ao período de tempo para o uso das chaves de criptografia. Ao término desse período a chave é substituída. Se os valores definidos não forem correspondentes entre os dispositivos envolvidos, será escolhido o menor valor. O default é 86400 (24horas).


EXEMPLO
(config)# crypto ikev1 policy 1
(config-ikev1-policy)# encryption aes-256
(config-ikev1-policy)# hash sha
(config-ikev1-policy)# authentication pre-share
(config-ikev1-policy)# group 2
(config-ikev1-policy)# lifetime 28800



2 . Habilitar a IKE Policy na interface outside

 # crypto ikev1 enable <nome da interface outside>

O comando permite habilitar o IKEv1 na interface de saída do firewall.



3 . Criação do IPsec Transform (Fase 2)
O transform-set é utilizado pelos pares durante as negociações de uma associação de segurança para o estabelecimento de uma VPN IPsec. Você precisará indicar um nome para a identificação do transform set e definir os algoritmos de criptografia e hash utilizados para a criação do túnel.

 # crypto ipsec ikev1 transform-set <Nome do IPsec> [Opção de criptografia] [Opção de hash]

Abaixo estão indicadas as opções disponíveis. Ao definir essas opções elas poderão ser utilizadas em outros perfis de conexão VPN.

Opções de criptografia:
. esp-3des: esp 3des encryption
. esp-aes: esp aes 128 encryption
. esp-aes-192: esp aes 192 encryption
. esp-aes-256: esp aes 256 encryption
. esp-des: esp des encryption

Opções de hash:
. esp-md5-hmac: esp md5 authentication
. esp-sha-hmac: esp sha authentication


EXEMPLO
crypto ipsec ikev1 transform-set ESP-AES-256-SHA esp-aes-256 esp-sha-hmac



4 . Criação de um Tunnel Group
Nessa etapa é realizada a configuração do Tunnel Group onde você informará o endereço IP do dispositivo remoto, definirá um nome para a conexão (opcional) e indicará a chave pré-compartilhada utilizada para o estabelecimento da VPN.

 # tunnel-group <endereço IP do peer> type ipsec-l2l

 # tunnel-group <endereço IP do peer> ipsec-attributes

 # ikev1 pre-shared-key <chave compartilhada>

5. Criação de uma Access-list (Classificação do tráfego de interesse)
Nessa etapa é criada uma access-list para a definição do tráfego que será encriptado no túnel VPN. No firewall Cisco ASA podem ser criados objetos e grupos de objetos para auxiliar na identificação das redes/hosts que participarão dessa comunicação. Essa access-list será vinculada a uma Crypto Map que será configurada na próxima etapa.

 # access-list  <nome da ACL> line <número> extended permit <protocolo> <objeto/endereço de origem> <objeto/endereço de destino>

EXEMPLO
Criação de um objeto com o endereço da rede local (origem)
(config)# object network REDE-LOCAL
(config-network-object)# subnet 10.100.1.0 255.255.255.0

Criação de um objeto com o endereço da rede remota (destino)
(config)# object network REDE-REMOTA
(config-network-object)# subnet 192.168.100.0 255.255.255.0

Configuração da ACL
access-list ACL_CryptoMap_1 line 1 extended permit ip object REDE-LOCAL object REDE-REMOTA



6. Configuração do Crypto Map

 # crypto map <nome do Crypto Map> <número/id> set peer <endereço ip do peer>

Nessa etapa você configurará o Crypto Map, definirá um nome para ele e um ID e informará o endereço IP do par remoto.

 # crypto map <nome do Crypto Map> <número/id> set ikev1 transform-set <nome do transform-set>

Nesse comando você indicará o nome do perfil do ipsec transform-set configurado anteriormente (Realizado na etapa 3).

 # crypto map <nome do Crypto Map> <número/id> match address <nome da access-list>

Aqui você indicará o nome da access-list criada anteriormente (Realizado na etapa 5).

 # crypto map <nome do Crypto Map> interface <nome da interface outside>

Nesse comando você indicará a interface de saída utilizada para o estabelecimento da VPN.


EXEMPLO
crypto map vpn_crypto_map 1 set peer <endereço ip do peer>
crypto map vpn_crypto_map 1 set ikev1 transform-set ESP-AES-256-SHA
crypto map vpn_crypto_map 1 match address ACL_CryptoMap_1
crypto map vpn_crypto_map interface outside



7. Criação de uma política de exceção de NAT (Opcional)
Nessa etapa você precisará garantir que os hosts com destino a VPN preservem o seu endereço IP original. No firewall Cisco ASA isso é feito com a criação de uma política de NAT vinculando o fluxo de comunicação (indicação das interfaces de origem e destino) com os hosts/redes envolvidos.

Para a criação da política são utilizados objetos ou grupos de objetos com as informações de IP dos hosts/redes correspondentes. Você precisará criar os objetos (object network) de origem e destino e inseri-los na política de NAT.

Criação do objeto

 (config)# object network <nome do objeto>

 (config-network-object)# subnet <endereço de rede> <máscara de rede>

Criação da Política de NAT

 # nat (<interface inside>,<interface outside>) source static <objeto de origem> <objeto de origem> destination static <objeto de destino> <objeto de destino> no-proxy-arp route-lookup

EXEMPLO
Criação do objeto com o endereço da rede local
(config)# object network REDE-10-100-1-0-M24
(config-network-object)# subnet 10.100.1.0 255.255.255.0

Criação do objeto com o endereço da rede remota
(config)# object network REDE-192-168-100-0-M24
(config-network-object)# subnet 192.168.100.0 255.255.255.0

Configuração da Política de NAT
nat (inside,outside) source static REDE-10-100-1-0-M24 REDE-10-100-1-0-M24 destination static REDE-192-168-100-0-M24 REDE-192-168-100-0-M24 no-proxy-arp route-lookup

 _________________________________________

As informações contidas neste post são baseadas em documentos publicados no site da Cisco e obtidas através da experiência com o próprio equipamento. Para o exemplo mostrado foram utilizados Firewalls Cisco ASA modelo 5510 com versão de software 9.1.

Information Security Foundation based on ISO/IEC 27002

A certificação Information Security Foundation é elaborado pela EXIN e é indicado para profissionais de todas as áreas. Ele testa os conhecimentos do candidato na área de Segurança da Informação baseado no padrão ISO/IEC 27002. O conteúdo abrange conceitos básicos em SI dando ênfase na importância da classificação e tratamento das informações e na aplicação de medidas adequadas para protegê-las. São abordados assuntos sobre a necessidade da elaboração de políticas de segurança, a importância da conscientização de funcionários, adoção de medidas de segurança e controle, conceitos sobre estratégias de risco, normas, regulamentações, entre outros.


Tópicos Abordados

• Informação e Segurança (10%)
  Abordagem sobre os conceitos de confidencialidade, integridade e disponibilidade. A visão da informação como um bem valioso para as organizações.

• Ameaças e Riscos (30%)
  Visão geral sobre os tipos de ameaças e vulnerabilidades e adoção de contramedidas para mitigação de riscos.

• Abordagem e Organização (10%)
  Conceitos sobre políticas de segurança, código de conduta, conscientização de funcionários e colaboradores e gerenciamento de incidentes de segurança.

• Medidas de Controle (40%)
  Abordagem sobre os tipos de medidas de segurança, suas ações e os riscos envolvidos com a não adoção dessas medidas.

• Legislação e Regulamentação (10%)
  Abordagem sobre as principais legislações e regulamentos relacionados a segurança da informação. 
  Adoção de medidas para o cumprimentos das exigências de requisitos legais e regulamentares.

Exame
O exame Information Security Foundation based on ISO/IEC 27002 (ISFS) possui um total de 40 questões de múltipla escolha e a duração da prova é de 1 hora. A pontuação mínima para aprovação é de 65%. A prova está disponível em português e pode ser agendada na Pearson Vue ou através do sistema EXIN ANYWHERE. O preço atual é de US$ 162,00. Não há pré-requisito para realização do teste. Mais Informações no site da EXIN.

Palo Alto - Firewall - Verificação de status do sistema

Verificar informações e status do sistema

  > show system info

Visualizar status de CPU, Memória e processos no management plane

  > show system resources

Visualizar utilização de recursos no dataplane

  > show running resource-monitor

Visualizar processos ativos

  > show system software status

Visualizar número de sessões ativas

  > show resource limit session

Visualizar estatísticas de sessões (TCP, UDP, Throughput)

  > show system statistics session

Visualizar jobs executados pelo sistema

  > show jobs processed

Visualizar configurações ativas

  > show config running

Visualizar configurações de gerenciamento

  # show deviceconfig

Visualizar serviços ativos na interface de gerência

  > show system services

Visualizar logs de eventos

  > show log system

Verificar espaço em disco

  > show system disk-space

Verificar status de temperatura

  > show system environmentals thermal

Verificar status das fans

  > show system environmentals fans

Verificar status de energia

  > show system environmentals power

________________________________________________

As informações contidas acima foram baseadas em documentos publicados pela Palo Alto Networks referentes a versão PAN-OS 7.0. Mais Informações: Palo Alto Networks

Cisco - Proteção para os arquivos de imagem e configuração

O sistema IOS (Interwork Operating System) da Cisco permite habilitar um recurso para proteção dos arquivos de imagem e de configuração em roteadores e switches. Esse recurso mantem uma cópia segura da imagem IOS e da running-config para casos onde a memória flash foi formatada (intencionalmente ou não). Ao configurar o recurso os usuários não poderão mais remover esses arquivos. Ele ficará oculto e não poderá ser visualizado ou removido via prompt de comando.

Proteger arquivo de imagem

  # secure boot-image

O comando habilita a resiliência para o arquivo de imagem do Cisco IOS.


Proteger arquivo de configuração

  # secure boot-config

O comando permite realizar um snapshot da running-config e armazená-la com segurança no persistent storage.



Visualizar o status de resiliência dos arquivos de imagem e configuração

  # show secure bootset

 _________________________________________

As informações contidas acima foram baseadas em documentos publicados pela Cisco Systems e obtidas através da experiência com o próprio sistema IOS. Os comandos são referentes ao roteador Cisco modelo c2911 utilizando a versão de IOS 15.1.

Palo Alto - Firewall - Configuração de gerenciamento do sistema

Este post auxilia na definição das configurações básicas para manutenção e gerenciamento dos firewalls de nova geração da Palo Alto. Relacionei abaixo os comandos necessários para colocar o appliance em operação. São definidos parâmetros básicos de rede como endereço da interface de gerência, hostname, default-gateway e outras configurações relacionadas aos serviços que serão utilizados pelo firewall. Todas as configurações reportadas estão relacionadas ao comando set deviceconfig system.

Definição do hostname e informação de domínio do appliance

 # set deviceconfig system hostname <name>

 # set deviceconfig system domain <value>

O nome é case-sensitive. Podem ser utilizados hiféns e underlines junto a letras e números. Para as definições de domínio deve ser informado o FQDN (Fully Qualified Domain Name) do firewall.


Definição de parâmetros relacionados à interface de gerência (MGT)

 # set deviceconfig system ip-address <ip_address> netmask <value>

 # set deviceconfig system default-gateway <gateway_ip_address>

 # set deviceconfig system speed-duplex (100Mbps-full-duplex | 1Gbps-full-duplex | auto-negotiate)

Definição de restrição de acesso ao appliance

 # set deviceconfig system permitted-ip <ip/netmask>

O comando permitted-ip restringe o acesso ao gerenciamento do firewall para os endereços IP definidos.


Definição de uma mensagem de boas vindas

 # set deviceconfig system login-banner <value>

O login-banner é uma mensagem de texto apresentada ao usuário na tela de login do firewall. É uma mensagem informativa que server de aviso para usuários ou de alerta para os desavisados que por ventura se deparem com a tela de autenticação do appliance.


Definição do time-zone

 # set deviceconfig system timezone <value>

Definição da localização geográfica

 # set deviceconfig system geo-location

Opções:
+ latitude    latitude coordinate
+ longitude   longitude coordinate


Definição de parâmetros do SNMP

 # set deviceconfig system snmp-setting snmp-system contact <value>

 # set deviceconfig system snmp-setting snmp-system location <value>

 # set deviceconfig system snmp-setting access-setting version (v2c | v3)

São definidos parâmetros de syslocation, contact e versão do SNMP. Na versão 2 é necessário apenas a definição da community-string, já na versão 3 informações de autenticação precisam ser definidas.

 # set deviceconfig system snmp-setting access-setting version v2c snmp-community-string <value>

ou

 # set deviceconfig system snmp-setting access-setting version v3 users <value>

Opções version v3:
+ authpwd   Authentication Protocol Password
+ privpwd   Privacy Protocol Password
+ view      Snmp View Name



Definindo configurações de Serviços
As definições abaixo estão relacionadas aos serviços que o firewall precisará utilizar na sua rede. Servidores de DNS (Domain Name System), NTP (Network Time Protocol) e Proxy. Para cada um destes serviços é possível indicar uma interface a qual o firewall utilizará para alcançá-los. Por default, a interface de gerenciamento (MGT) é utilizada em todas as comunicações.


Definição dos servidores DNS primário e secundário

 # set deviceconfig system dns-setting servers primary <ip_dns_server1>

 # set deviceconfig system dns-setting servers secondary <ip_dns_server2>

Definição dos servidores de NTP

 # set deviceconfig system ntp-server-1 <ip_ntp_server1>

 # set deviceconfig system ntp-server-2 <ip_ntp_server2>

Definição de proxy

 # set deviceconfig system secure-proxy-server <value>

 # set deviceconfig system secure-proxy-port <port_number>

 # set deviceconfig system secure-proxy-user <username>

 # set deviceconfig system secure-proxy-password <password>

Caso o firewall precise utilizar um proxy para a comunicação com a Internet você deverá definir o IP/Hostname do proxy assim como as informação da porta de serviço utilizada, username e password.


Definição de rota para os serviços
Como informado anteriormente, aqui você define como o firewall irá se comunicar com outros servidores/serviços em sua rede. Você pode definir a interface que o appliance utilizará para alcançar cada um destes. Caso você precise que o firewall se comunique com um tipo de serviço não relacionado entre as opções do comando set deviceconfig system route service, você pode especificar através do comando set deviceconfig system route destination o ip de qualquer outro servidor.

 # set deviceconfig system route service <service> source-address <interface_ip_address>

Opções:
  crl-status         CRL servers
  dns                DNS server(s)
  email              SMTP gateway(s)
  netflow            Netflow server(s)
  ntp                NTP server(s)
  paloalto-updates   Palo Alto update server
  panorama           Panorama server
  proxy              Proxy server
  radius             RADIUS server
  snmp               SNMP server(s)
  syslog             Syslog server(s)
  uid-agent          UID agent(s)
  url-updates        URL update server
  wildfire           WildFire service

ou

 # set deviceconfig system route destination <ip-address> source-address <interface_ip_address>

________________________________________________

As informações contidas acima foram baseadas em documentos publicados pela Palo Alto Networks referentes a versão PAN-OS 5.0. Mais Informações: Palo Alto Networks

Palo Alto - Firewall - Configuração inicial

Antes de você iniciar a configuração das políticas de segurança no seu next-generation firewall da Palo Alto é necessário primeiramente definir os parâmetros básicos da interface de gerência (MGT). Essa interface é utilizada para a gestão do appliance e possibilitará o acesso remoto ao elemento via interface WEB ou CLI.

O acesso inicial pode ser realizado via cabo serial conectando o seu computador na porta console do appliance e utilizando um aplicativo para emulação de terminal como o Putty. Esse tipo de conexão permitirá o acesso a CLI (Command Line Interface) do dispositivo. Os parâmetros da porta serial estão definidos como 9600-8-N-1. A outra maneira de acessar é utilizando um cabo Ethernet para conectar a interface MGT do elemento. Para esse tipo de acesso você precisará utilizar um web browser e digitar https://192.168.1.1 que é o IP padrão definido para essa interface.

É bom lembrar que o equipamento que você irá utilizar (desktop / notebook) para a conexão ao firewall precisa estar na mesma rede 192.168.1.0 do elemento. Sendo necessário definir um endereço diferente do utilizado anteriormente como por exemplo 192.168.1.2.

1 - Conecte o cabo serial na interface console do firewall.

2 - Configure o software de emulação de terminal com os seguintes parâmetros: 9600-8-N-1.

3 - Efetue o login com os valores default.

 Username: admin
 Password: admin

4 - Altere a senha default de acesso ao appliance

 admin@PA-5060> set password
 Enter old password : <informe a senha antiga>
 Enter new password : <digite a nova senha>
 Confirm password   : <confirme a nova senha>
 

5 - Configure a interface de gerência (MGT). Defina os valores de IP, máscara, gateway e DNS.

 admin@PA-5060> configure

 admin@PA-5060# set deviceconfig system ip-address <ip_address> netmask <value>

 admin@PA-5060# set deviceconfig system default-gateway <IP do Gateway>

 admin@PA-5060# set deviceconfig system dns-setting servers primary <IP do servidor DNS>

 admin@PA-5060# commit

Obs: Ao final de cada alteração realizada é necessário executar o comando commit para que validar a configuração.

6 - Teste a conectividade do firewall

 admin@PA-5060> ping host <hostname or ip_address>

Você pode realizar um ping para o default-gateway para confirmar se o firewall consegue comunicar com outros elementos na rede. Também pode ser utilizado o hostname de algum elemento de rede já que o servidor DNS foi definido anteriormente.

________________________________________________

As informações contidas acima foram baseadas em documentos publicados pela Palo Alto Networks referentes a versão PAN-OS 5.0. Mais Informações: Palo Alto Networks

Firewall Cisco ASA - Configurando uma VPN IPsec Site-to-Site

Para a configuração de uma VPN Site-to-Site utilizando o IPsec é necessário cumprirmos algumas etapas. Você precisará criar um perfil de conexão onde serão definidos os parâmetros para o estabelecimento do túnel VPN. Serão indicados os algoritmos de criptografia e hash, os endereços dos dispositivos envolvidos, entre outros. Para a autenticação dos equipamentos nós utilizaremos uma chave pré-compartilhada (PSK).

ETAPAS

1. Criação de uma política ISAKMP (Definição dos parâmetros da fase 1);
2. Habilitar a ISAKMP Policy na interface outside;
3. Criação do IPsec Transform (Definição dos parâmetros da fase 2);
4. Criação de um Tunnel Group;
5. Criação de uma accessACL (Definição do tráfego de interesse);
6. Configuração do Crypto Map;

......................................................

CONFIGURAÇÃO

1. Criação da política ISAKMP (Fase 1)

 #  crypto isakmp policy  <priority>

Na criação de uma política ISAKMP são definidos os parâmetros de criptografia, hash, autenticação, Diffie-Hellman e lifetime. Uma vez criada a política ela poderá ser utilizada em outros perfis de conexão VPN.

 # authentication pre-share 

Esse comando indica que o política criada utilizará uma chave pré-compartilhada (PSK).

 # encryption [3des | aes | aes-192 | aes-256 | des]

Você deve especificar um algoritmo de criptografia entre as opções disponíveis para a proteção dos dados.

 # hash [md5 | sha]

Nesse ponto é preciso especificar um algoritmo de hash que será utilizado pelos pares para garantir que as mensagens não tenham sido modificadas durante a transmissão.

 # group [1 | 2 | 5]

Você deve especificar o ID do grupo Diffie-Hellman entre as opções disponíveis. O Firewall ASA utiliza esse algoritmo para derivar as chaves de criptografia e hash.

 # lifetime <valor em segundos>

Você deve especificar o valor do lifetime para a Secure Association. Esse valor corresponde ao período de tempo para o uso das chaves de criptografia. Ao término desse período a chave é substituída. Se os valores definidos não forem correspondentes entre os dispositivos envolvidos, será escolhido o menor valor.

EXEMPLO
(config)# crypto isakmp policy 1
(config-isakmp-policy)# authentication pre-share
(config-isakmp-policy)# encryption aes-256
(config-isakmp-policy)# hash sha
(config-isakmp-policy)# group 2
(config-isakmp-policy)# lifetime 28800


2. Habilitar a ISAKMP Policy na interface outside

 # crypto isakmp enable  <nome da interface outside>

O comando permite habilitar o ISAKMP na interface de saída do firewall.


3. Criação do IPsec Transform (Fase 2)

 # crypto ipsec transform-set  <Nome do IPsec> [Opção de criptografia] [Opção de hash]

O transform-set é utilizado pelos pares durante as negociações de uma associação de segurança para o estabelecimento de uma VPN IPsec. Você precisará indicar um nome para a identificação do transform-set e definir os algoritmos de criptografia e hash utilizados para esse túnel.

Opções:
esp-3des - esp 3des encryption
esp-aes - esp aes 128 encryption
esp-aes-192 - esp aes 192 encryption
esp-aes-256 - esp aes 256 encryption
esp-des - esp des encryption
esp-md5-hmac - esp md5 authentication
esp-sha-hmac - esp sha authentication

EXEMPLO
(config)# crypto ipsec transform-set ESP-AES-256-SHA esp-aes-256 esp-sha-hmac


4. Criação de um Tunnel Group 

 # tunnel-group   <endereço IP do peer> type ipsec-l2l
 # tunnel-group   <endereço IP do peer> ipsec-attributes
 # pre-shared-key  <chave compartilhada>

Nessa etapa é realizada a configuração do Tunnel Group onde você informará o endereço IP do dispositivo remoto definindo um nome para a conexão e indicará a chave pré-compartilhada utilizada para o estabelecimento da VPN.


5. Criação de uma Access-list ( Utilizada pra a identificação do tráfego de interesse)

 # access-list <nome da ACL> line <número> extended permit <protocolo> <endereço de origem> <endereço de destino>

Nessa etapa é criada uma access-list para a definição do tráfego que será encriptado no túnel VPN. No firewall ASA podem ser criados grupos de objetos para auxiliar nessa atividade. Essa access-list será vinculada na Crypto Map que será configurada na etapa seguinte.

EXEMPLO
access-list ACL_CryptoMap_1 line 1 extended permit ip object-group Rede-Local object-group Rede-Remota


6. Configuração do Crypto Map

 # crypto map <Nome do Crypto Map> <número/id> set peer <endereço ip do peer>

Nessa etapa você configurará o Crypto Map, definirá um nome, o ID e informará o endereço IP do par remoto.

 # crypto map <Nome do Crypto Map> <número/id> set transform-set <Nome do transform-set>

Nesse comando você indicará o nome do perfil do ipsec transform-set configurado anteriormente (Passo 3).

 # crypto map <Nome do Crypto Map> <número/id> match address <Nome da access-list>

Aqui você indicará o nome da access-list criada anteriormente (Passo 5).

 # crypto map <Nome do Crypto Map> interface <interface outside>

Nesse comando você informará a interface de saída utilizada para o estabelecimento da VPN.

EXEMPLO
crypto map crypto_map 1 set peer <endereço ip do peer>
crypto map crypto_map 1 set transform-set ESP-AES-256-SHA
crypto map crypto_map 1 match address ACL_CryptoMap_1
crypto map crypto_map interface outside

________________________________________________

As informações contidas acima foram baseadas em documentos oficiais publicados no site da Cisco Systems e obtidas através da experiência com o próprio equipamento. Para o exemplo mostrado foi utilizado um Firewall ASA modelo 5510 com versão de IOS 8.2 (5).

Firewall Cisco ASA - Configurando SSL VPN Clientless (Wizard)

Este artigo descreve como configurar o firewall Cisco ASA para estabelecer conexões SSL através do serviço SSL VPN Clientless. O SSL VPN Clientless utiliza protocolos SSL (Secure Socket Layer) e TLS (Transport Layer Security) para oferecer comunicações seguras através da Internet. Essa funcionalidade permite que usuários remotos possam acessar os recursos da rede corporativa diretamente de seus navegadores web,  sem a necessidade de instalação de um software client.


Configurando o Firewall ASA para SSL VPN Clientless

Para a ativação do serviço utilizaremos o Wizard disponível no appliance que facilitará bastante nessa atividade. Antes de partir para a configuração do equipamento é necessário levantar algumas informações referentes à  interface que será utilizada, certificado digital, grupo de usuários e a lista de portais/websites internos disponíveis. Seguem abaixo mais detalhes dessas informações.

1 - Nome da Interface - Definir o nome da interface a qual o serviço de acesso remoto estará disponível. Quando os usuários estabelecerem uma conexão SSL VPN através dessa interface uma página/portal será disponibilizada.

2 - Certificado Digital - (Self-signed ou Trusted CA certificate). O firewall gera um certificado auto-assinado por padrão, mas nada impede que você adicione um certificado de uma autoridade certificadora. Além de impor mais credibilidade e segurança, um certificado assinado por uma CA elimina aquelas indesejáveis mensagens de erro de certificado no browser.

3 - Lista de usuários ou grupos de usuários que serão clientes do serviço de acesso remoto. Estes serão autenticados através de uma base de dados local ou através da utilização de um servidor AAA (Authentication Authorization Accounting). Se for utilizar a base de dados local, basta cadastrar os clientes/usuários no próprio ASA. Caso utilize um AAA Server, você precisará definir alguns dados adicionais. São eles:

• Nome do grupo de servidores de autenticação (AAA Server Group);
• Protocolo de autenticação utilizado (TACACS+, RADIUS, SDI, NT, Kerberos e LDAP);
• Endereço IP do AAA Server;
• Interface do firewall ASA que será utilizada para autenticação;
• Secret Key / Shared Secret utilizada para autenticação com o AAA Server.

4 - Lista de páginas internas que estarão disponíveis para os usuários de acesso remoto. Serão os links para os serviços / recursos internos da empresa visíveis através de um portal.

Para a configuração acesse o firewall via ASDM, clique no menu Wizards e em seguida selecione SSL VPN Wizard. Na tela inicial, SSL VPN Connection Type, marque a check box Clientless SSL VPN Access e clique em Next.

Na tela seguinte, SSL VPN Interface, defina um nome para identificar o perfil de conexão, selecione a interface a qual os usuários remotos irão conectar, informe o certificado digital que o ASA enviará para os clientes e, por fim, define a forma de acesso ao perfil especificando uma URL. Clique em Next.

Na tela seguinte, User Authentication, você irá definir se utilizará servidores AAA ou utilizará a base de dados local para autenticação dos clientes. Caso opte por utilizar os servidores marque a opção Authenticate using a AAA server group.

Clique em New para adicionar novos servidores. Na tela New Authentication Server Group defina um nome para o grupo de servidores, o protocolo de autenticação (TACACS+, RADIUS, SDI, NT, Kerberos e LDAP), o endereço IP do(s) servidor(es), a interface utilizada pelo firewall para alcançar o AAA server e a secret key. Em seguida clique em OK.

Caso opte pela autenticação de usuários utilizando a base de dados local selecione Authenticate using the local user database. Insira o Username e Password de cada usuário. Após finalizar o cadastro clique em Next.

O próximo passo será determinar uma política de grupo, na tela Group Policy, onde você definirá atributos aos usuários para acesso a SSL VPN. O grupo é um conjunto de usuários tratado como uma entidade única. Por padrão, todos os usuários são membros do grupo DfltGrpPolicy. Clique em Create new group policy e especifique um nome para o grupo. Clique em Next.

A próxima tela, Bookmark List é aplicada apenas à conexões do tipo Clientless, nela você criará uma portal onde ficarão disponíveis listas de URLs que darão acesso aos recursos e serviços da rede corporativa. Esta tela será mostrada quando os usuários remotos estabelecerem uma conexão SSL VPN através do browser.

Clique em Manage para criar uma nova lista ou gerenciar as existentes. Será mostrada a caixa de diálogo Configure GUI Customization Objects.

Clique em Add e em seguida na tela Add Bookmark List especifique um nome para o grupo de endereços e em seguida cadastre as URLs conforme desejar.

 

 Quando finalizar o cadastro dos endereços a nova lista ficará disponível como uma das opções na tela inicial do Bookmark List, basta selecioná-la e clicar em Next.

No próximo passo do SSL VPN Wizard serão mostradas todas as configurações realizadas até o momento. Clique em Finish para aplicar as alterações.

________________________________________________

As informações contidas acima foram baseadas em documentos oficiais publicados no site da Cisco Systems e obtidas através da experiência com o próprio equipamento. Para o exemplo mostrado foi utilizado um Firewall ASA modelo 5540 com versão de IOS 8.2 (5) e ASDM 6.4 (1).