¿Cómo suelen realizar las personas las auditorías de seguridad de los firewalls?

2

En mis días como pentester, solíamos usar herramientas como Nipper, combinadas con el análisis manual, para realizar auditorías de configuraciones de firewall. Sin embargo, en mi empresa actual tenemos muchos firewalls y dispositivos de red diferentes, y me preguntaba cómo las personas normalmente auditarán sus firewalls para la seguridad.

Nota: no estoy pidiendo recomendaciones específicas de productos, aunque descartar nombres de proveedores nunca me duele, lo que realmente estoy pidiendo aquí es cómo las personas se acercan a la tarea de realizar auditorías.

En mi opinión, la solución ideal sería alguna forma de administración unificada para firewalls, que permitiría al equipo de redes realizar todas sus operaciones diarias, pero también respaldar los controles de gestión de cambios, auditorías de seguridad, revisiones de cumplimiento y más.

    
pregunta appsecguy 18.03.2015 - 04:01
fuente

2 respuestas

2

Por lo general, primero observo los diagramas de red y cómo se configura o debería configurarse la red. Esto me dará una idea de dónde está el perímetro, las redes internas, los segmentos funcionales, etc. Luego observo cuáles son los dispositivos (marca, modelo) que se usan para administrar el ambiente, ya sean de clase empresarial y tienen una funcionalidad para unificar la administración. Esto debería darme una indicación de cuánto puedo ver centralmente en comparación con cuánto tiempo necesitaré para ir a través de sistemas individuales.

Veré la administración básica del firewall: actualizaciones y versiones de firmware, administración de usuarios, syslog y configuraciones NTP. Luego veré las reglas.

Lo ideal sería que las reglas se justifiquen / expliquen con un comentario o un enlace a un control de cambios. Habrá una fuente válida, un destino con protocolos específicos para la mayoría de las reglas; habrá muy pocas instancias de 'any'. Se utilizarán protocolos seguros cuando sea posible, HTTPS, SFTP y se justificarán si no. Las reglas y objetos redundantes serán deshabilitados o eliminados. Los equipos de aplicaciones y operaciones ayudarán en la revisión para validar sus requisitos.

El uso de reglas o herramientas para identificar reglas / objetos no utilizados es útil.

Una vez que haya completado la revisión y tenga una lista de problemas, las preguntas deben ingresarse en un informe o en una hoja de cálculo y los cambios deben identificarse y priorizarse. Las reglas redundantes se deben deshabilitar temporalmente antes de eliminar y actualizar los comentarios. Las reglas que pueden ser más restrictivas deben actualizarse y comentarse.

Una vez que hayas hecho lo anterior en el estado, ¡probablemente sea hora de comenzar de nuevo!

    
respondido por el AndyMac 18.03.2015 - 15:12
fuente
0

Creo scripts manuales para probar las reglas intencionadas y no intencionadas. Requiere acceso a las reglas del firewall, así como a la intención (comentarios, tickets) de cada una. Cada regla de firewall obtiene una prueba específica de la misma manera que un programador crea pruebas unitarias (enfoque de desarrollo dirigido por pruebas). Además, los casos de esquina se conciben y se prueban.

Genero tráfico de prueba tanto dentro como fuera de los límites que estoy probando. Con un buen script, incluso puede iniciar una prueba continua y realizar cambios en las reglas del firewall para ver el efecto de los cambios en tiempo real. El código fuente de los scripts se puede guardar en los repositorios de administración de control de origen (svn, git, hg, etc.) para auditarlos. Un miembro junior puede ejecutar los scripts regularmente (¿mensualmente?) Para auditar los firewalls. La secuencia de comandos puede cambiar para cada cambio en los cortafuegos.

Además, uso nmap para un barrido general para ver la línea de base de un barrido de puertos completo, pero los barridos de puertos no pueden probar todas las configuraciones posibles de tipos de tráfico (paquetes mal formados, tráfico de aplicaciones personalizadas, etc.).

En términos prácticos, solía usar hping3 bastante (soporte de scripts tcl), pero tengo muchos recientemente convertí mis scripts a Python usando scapy .

    
respondido por el schroeder 18.03.2015 - 21:53
fuente

Lea otras preguntas en las etiquetas