Palo Alto - Firewall - Boas Práticas para configuração de URL Filtering

Categorias de URL liberadas por padrão

• auctions
• business-and-economy
• computer-and-internet-info
• content-delivery-networks
• educational-institutions
• entertainment-and-arts
• financial-services
• government
• health-and-medicine
• home-and-garden
• hunting-and-fishing
• internet-portals
• job-search
• legal
• military
• motor-vehicles
• news
• personal-sites-and-blogs
• philosophy-and-political-advocacy
• real-estate
• real-time-detection
• recreation-and-hobbies
• reference-and-research
• religion
• search-engines
• sex-education
• shopping
• society
• sports
• stock-advice-and-tools
• swimsuits-and-intimate-apparel
• training-and-tools
• translation
• travel
• web-advertisements
• web-hosting

Categorias de URL que precisam de atenção pois dependem de como foram definidas as regras de negócio. Precisam estar de acordo com a política de acesso a Internet da sua empresa. São categorias relacionadas a serviços de armazenamento online, download de arquivos, redes sociais, acesso a e-mail externo, etc.

• Cryptocurrency
• Internet Communications and Telephony
• Music
• Online Storage and Backup
• Shareware and Freeware
• Social Networking
• Streaming Media
• Web-based Email

Categorias de URL que a Palo Alto recomenda o bloqueio por serem maliciosas, por apresentarem algum serviço de exploração de vulnerabilidades, ameaça ou pelo fato de ainda não possuírem uma classificação.

• command-and-control
• copyright-infringement
• dynamic-dns
• extremism
• grayware
• malware
• newly-registered-domain
• parked
• phishing
• proxy-avoidance-and-anonymizers
• questionable
• unknown

Categorias de URL que são bloqueadas por padrão

• abortion
• abused-drugs
• adult
• alcohol-and-tobacco
• dating
• gambling
• games
• hacking
• insufficient-content
• not-resolved
• nudity
• peer-to-peer
• private-ip-addresses
• ransomware
• weapons

Categorias de URL utilizadas pela Palo Alto como auxiliares. As URLs podem ter mais de uma classificação (4) incluindo uma categoria de risco. Essa categorias foram definidas a partir da versão PAN-OS 9.0.

• high-risk
• low-risk
• medium-risk

Palo Alto - Firewall - URL Filtering - Categorias de URL

Lista das categorias de URLs atualmente definidas para os firewalls da Palo Alto.

• abortion
• abused-drugs
• adult
• alcohol-and-tobacco
• auctions
• business-and-economy
• command-and-control
• computer-and-internet-info
• content-delivery-networks
• copyright-infringement
• cryptocurrency
• dating
• dynamic-dns
• educational-institutions
• entertainment-and-arts
• extremism
• financial-services
• gambling
• games
• government
• grayware
• hacking
• health-and-medicine
• high-risk
• home-and-garden
• hunting-and-fishing
• insufficient-content
• internet-communications-and-telephony
• internet-portals
• job-search
• legal
• low-risk
• malware
• medium-risk
• military
• motor-vehicles
• music
• newly-registered-domain
• news
• not-resolved
• nudity
• online Storage and Backup
• parked
• peer-to-peer
• personal-sites-and-blogs
• philosophy-and-political-advocacy
• phishing
• private-ip-addresses
• proxy-avoidance-and-anonymizers
• questionable
• ransomware
• real-estate
• real-time-detection
• recreation-and-hobbies
• reference-and-research
• religion
• search-engines
• sex-education
• shareware and Freeware
• shopping
• social Networking
• society
• sports
• stock-advice-and-tools
• streaming Media
• swimsuits-and-intimate-apparel
• training-and-tools
• translation
• travel
• unknown
• weapons
• web-advertisements
• web-based email
• web-hosting

___________________________________________________________

Mais informações:

• Palo Alto Networks URL filtering - Test A Site
• URL Categories (paloaltonetworks.com)

F5 Networks - BIG-IP - Atualização de Software

Para realizar o upgrade dos balanceadores a F5 Networks recomenda o cumprimento de algumas etapas sendo algumas delas essenciais e outras opcionais, para a garantia do sucesso dessa implementação. O procedimento abaixo descreve de forma resumida as atividades necessárias para a atualização do BIG-IP da versão 16.0.1.1 para a 16.1.0 build 0.0.19. Mais detalhes podem sem encontrados no próprio site do fabricante.

Etapa 1 - Definir a nova versão de software 

Acesse o site do fabricante através da sua conta na F5 e realize o download da versão de software desejada.  

Etapa 2 - Verificar o status da licença

Você pode verificar o status da sua licença através do comando "show sys license". É necessário que a Service Check Date seja igual ou superior a License Check Date informada pelo fabricante. Se for necessário reative a sua licença antes de realizar o upgrade do dispositivo. 

Referência: https://support.f5.com/csp/article/K7727

 

Etapa 3 - Realizar o sincronismos dos appliances (Somente HA)

Quando os balanceadores estão operando em cluster (HA) é necessário que a configuração esteja sincronizada antes do início do upgrade. Acesse Device Management / Overview e clique em Sync.

Etapa 4 - Realizar o backup da configuração (Local)

 Acesse o dispositivo via CLI e insira o comando "save sys config" para garantir que a configuração em execução no momento seja salva no disco.

Etapa 5 - Realizar o backup da configuração (Remota)

Gere um novo arquivo de backup e salve-o em local seguro. Acesse System / Archives e clique em Create. Defina um nome para o arquivo e clique em Finished.

Etapa 6 - Realizar um reboot no balanceador (Opcional)
Realizar um boot limpo apenas para verificar se o dispositivo está com algum problema na inicialização. Acesse System / Configuration e clique em Reboot.

Etapa 7 - Faça o upload da nova versão
 Acesse System / Software Management e no campo Available Images clique em Import.

Na tela seguinte selecione o arquivo de imagem e clique em Import.

 Aguarde até o término do carregamento do arquivo. A nova imagem ficará disponível para instalação

 Etapa 8 - Instale a nova versão em uma partição vazia

Acesse System / Software Management e no campo Available Images selecione a nova versão e clique em Install. 

Acompanhe o progresso da instalação da nova imagem.

Etapa 9 - Realize o boot com a nova versão

Após a instalação é necessário realizar um boot indicando a partição onde o novo sistema foi instalado. Se os dispositivos estiverem em cluster a F5 recomenda que primeiro seja atualizado o Standby. 

Garanta que seu ambiente esteja operacional realizando todos os testes necessários com o Standby na versão nova antes de atualizar o Active. A F5 também recomenda a alteração do status do Standby para offline antes do boot para que não gere nenhum tipo de conflito no retorno do appliance.

Acesse System / Software Management / Boot Locations e selecione o volume  que contem a nova versão e clique em Activate. O sistema irá reiniciar com a nova versão. Os dados da configuração serão copiados da versão que você indicar no campo Install Configuration.

 

 

Etapa 10 - Verifique o status da nova versão e realize os testes em seu ambiente

Acesse System / Configuration e verifique a nova versão do sistema.

 Referências:
. https://support.f5.com/csp/article/K8986
. https://support.f5.com/csp/article/K84554955
. https://support.f5.com/csp/article/K7727

Palo Alto - Firewall - Troubleshooting de Alta Disponibilidade (High Availability)

Verificar status do serviço de alta disponibilidade

 
 > show high-availability state

Verificar informações do serviço de alta disponibilidade

 
 > show high-availability all

Verificar informações de sincronismo entre os appliances

  > show high-availability state-synchronization

Verificar informações de interface do serviço de alta disponibilidade

 > show high-availability interface [ha1 | ha1-backup | ha2 | ha2-backup]

Verificar estatísticas do control-link (HA1)

 > show high-availability control-link statistics

Links HA1 são utilizados para troca de hellos, heartbeats, informações de HA e User-ID e syncronismos do management plane e da configuração dos peers.


Verificar status do Link Monitoring

 > show high-availability link-monitoring

Link monitoring permite o acionamento do failover quando ocorre uma queda em um link ou grupo de links.


Verificar estatísticas do Path Monitoring

 > show high-availability path-monitoring

Path-monitoring verifica a conectividade de rede e o estado do link para um endereço IP ou grupo de endereços IP.


Verificar as configurações do serviço de alta disponibilidade

 # show deviceconfig high-availability

Alterar o estado HA do firewall para ativo

 > request high-availability state functional

Alterar o estado HA do firewall para passivo

 > request high-availability state suspend

Definir o estado HA do firewall peer (Firewall integrante do HA)

 > request high-availability state peer [functional | suspend]

________________________________________________

As informações contidas acima foram baseadas em documentos publicados pela Palo Alto Networks e obtidas através da experiência com o equipamento. Os comandos utilizados são referentes a versão PAN-OS 8.1.5.

Palo Alto - Firewall - Verificar sessões ativas no sistema

Verificar informações e estatísticas das conexões de rede

 
 > show netstat

Verificar número de sessões ativas

 
 > show resource limit session

Verificar estatísticas de sessões ativas (Packet, Throughput, TCP, UDP, ICMP)

  > show system statistics session

Verificar status de sessões ativas (Tabela de Sessão)

 > show session all

Verificar informações e estatísticas de sessão (TCP, UDP, ICMP, etc)

 > show session info

Verificar informações detalhadas de sessão (Sessão específica)

 > show session id <id da sessão>

Visualizar estatística das aplicações em uso

 > show running application statistics

Visualizar pool de NATs (Network Address Translation) ativos

 > show running ippool

________________________________________________

As informações contidas acima foram baseadas em documentos publicados pela Palo Alto Networks e obtidas através da experiência com o equipamento. Os comandos utilizados são referentes a versão PAN-OS 8.1.5.