שיטות מומלצות לשימוש בשירות לסינון כתובות URL

במסמך הזה מפורטות שיטות מומלצות לשימוש בשירות סינון כתובות URL עם Cloud Next Generation Firewall ‏ (Cloud NGFW). ההמלצות האלה יעזרו לכם ליצור מדיניות חומת אש יעילה וקלה לתחזוקה, שתעזור למנוע פעולות סינון לא רצויות. המאמר הזה מיועד למי שמכיר את המושגים של שירות סינון כתובות URL.

שיטות מומלצות

בטבלה הבאה מפורטות השיטות המומלצות לשימוש בשירות סינון כתובות URL:

מציינים את פרוטוקול היעד ואת היציאות

‫Cloud NGFW מחיל את פעולת ברירת המחדל allow או deny בפרופיל אבטחה של סינון כתובות URL על תעבורת נתונים שאינה HTTP ושאינה HTTPS, שתואמת לכלל מדיניות חומת אש שמחייב סינון כתובות URL. מציינים את הפרוטוקול TCP ואת היציאות 80 ו-443 בכלל מדיניות חומת האש.

ציון הפרוטוקול והיציאות בכלל מונע התאמה לתנועה שאינה HTTP או HTTPS, ולכן מונע מהפעולה שמוגדרת כברירת מחדל לאפשר או לחסום את התנועה הזו בטעות.

הצבת כללים לסינון כתובות URL בעדיפות הנמוכה ביותר

כדי לוודא שכללי מדיניות חומת האש שלא משתמשים בבדיקה של Layer 7 מוערכים קודם, צריך להגדיר את הכללים שמחילים פרופילי אבטחה של סינון כתובות URL בעדיפות הנמוכה ביותר במדיניות חומת האש. הגישה הזו מונעת את פעולת ברירת המחדל בפרופיל אבטחה של סינון כתובות URL, שעלולה לאפשר או לחסום תעבורה בטעות.

לדוגמה, כדי לאפשר לכל מכונה וירטואלית (VM) לתקשר עם www.example.com, צריך ליצור פרופיל אבטחה לסינון כתובות URL שמאפשר את כתובת ה-URL הזו. לאחר מכן, מוסיפים כלל עם עדיפות נמוכה, כמו 500 שמחיל קבוצת פרופילים של אבטחה עם פרופיל האבטחה הזה.

שימוש בהקשרים של רשת כדי להפריד בין תנועת הגולשים

פעולת ברירת המחדל של פרופיל אבטחה יכולה לאפשר או לדחות תנועה שלא תואמת למסנני כתובות ה-URL שהוגדרו. כדי למנוע פעולות ברירת מחדל לא רצויות, משתמשים בהקשרים של הרשת כדי ליצור כללי מדיניות חומת אש נפרדים לסינון כתובות URL לתעבורת נתונים מזרח-מערב (לא קשורה לאינטרנט) ולתעבורת נתונים שקשורה לאינטרנט. הקשרים של הרשת מאפשרים להגדיר קריטריונים פרטניים יותר להתאמת הכלל, וכך למנוע מצב שבו פעולת ברירת המחדל מאפשרת או חוסמת תנועה בטעות.

בדוגמה הבאה, ההקשר של הרשת שאינה מחוברת לאינטרנט מונע מהכלל עם העדיפות 500 להתאים ולאפשר או לחסום בטעות תנועה שיוצאת לאינטרנט, שהכלל עם העדיפות 600 מנהל בנפרד.

שימוש באובייקטים של FQDN

כדי למנוע התאמות לא מכוונות של תעבורת נתונים לכללי מדיניות חומת האש, וכך למנוע את פעולת ברירת המחדל של פרופיל האבטחה שמאפשרת או דוחה תעבורת נתונים לא מכוונת, כדאי להשתמש באובייקטים של FQDN ליעד יחד עם פרופילי אבטחה של סינון כתובות URL.

שימוש ב-FQDN כדי להוסיף חריגים של חורים קטנים

חריג מסוג pinhole בחומת אש מאפשר לסוג מסוים של תנועה לעבור דרך היקף אבטחה שסגור בדרך כלל. כדי ליצור חריגה כזו שתאפשר למקור ספציפי לגשת לאתר, צריך להשתמש באובייקט FQDN של יעד ובפרופיל אבטחה של סינון כתובות URL בכלל מדיניות חומת האש.

כלל חריגה מסוג pinhole מתאים לתנועה מהמקור לכתובת ה-IP של ה-FQDN לפני החלת סינון כתובות ה-URL. תנועה אחרת מהמקור לא תואמת, ולכן לא מופעלת פעולת ברירת המחדל של פרופיל האבטחה על תנועה לא קשורה.

בדוגמה הבאה, הכלל מתאים לתנועה מטווח כתובות ה-IP שצוין לכתובת ה-IP של example.com, ואז מחיל סינון של כתובות URL על התנועה התואמת.

שימוש בשמות דומיין מלאים (FQDN) לבדיקה סלקטיבית של תעבורת נתונים

כדי לבדוק תנועה באופן סלקטיבי על סמך דומייני היעד, משתמשים באובייקטים של FQDN במקום בפרופילי אבטחה של סינון כתובות URL.

פרופילי אבטחה של סינון כתובות URL לא תומכים בבדיקה סלקטיבית של תנועה. אם אתם משתמשים בפרופילי אבטחה של סינון כתובות URL לבחירת תנועה, יכול להיות שהפעולה שמוגדרת כברירת מחדל בפרופיל תאפשר או תדחה תנועה שלא במכוון.

לדוגמה, כדי לבדוק את התנועה אל example.com לאיתור איומים בלי להשפיע על התנועה אל examplepetstore.com, יוצרים כללים נפרדים למדיניות חומת האש עם עדיפות 100 ו-200. לכל כלל, משתמשים באובייקט FQDN של היעד ומחילים את פרופיל האבטחה למניעת איומים רק על הכלל עם היעד example.com. הגישה הזו מונעת מתנועה אל examplepetstore.com להתאים לכלל עם העדיפות 100.

בטבלה הבאה מוצגת ההגדרה השגויה:

בטבלה הבאה מוצגת ההגדרה הנכונה:

לא כדאי ליצור כללים שמבוססים על משאב יחיד

כדי לעמוד בדרישות זמניות, מומלץ להימנע מיצירת כללי מדיניות חומת אש עם סינון כתובות URL שמשתמשים במשאב יחיד כמקור.

אם משאירים את הכללים האלה, פעולת ברירת המחדל של פרופיל אבטחה לסינון כתובות URL עשויה לאפשר או לדחות תנועה לא מכוונת. אם לא מוחקים אותם מיד, הכללים האלה עלולים לגרום להתרחבות של המדיניות לאורך זמן.

בדוגמה הבאה, כלל עם עדיפות גבוהה יותר של 100 תואם ומאפשר תנועה מ-192.168.1.1 אל examplepetstore.com. ההערכה הזו מתבצעת לפני שהתנועה מגיעה לכלל עם עדיפות של 101, שמוגדר לחסימת התנועה הזו.

עם זאת, אם אתם צריכים לשמור כלל כזה, אתם יכולים להשתמש באובייקט FQDN של יעד. לדוגמה, כדי למנוע התאמה של תנועה מ-192.168.1.1 ל-examplepetstore.com, מוסיפים את אובייקט ה-FQDN‏ example.com לכלל עם העדיפות 100.

שימוש בסינון מבוסס-FQDN לפרוטוקולים שאינם HTTP

משתמשים בסינון מבוסס-FQDN לפרוטוקולים שאינם HTTP ואינם HTTPS, כמו RDP או SSH. סינון כתובות URL פועל רק עם תנועה מסוג HTTP או HTTPS.

אל תשתמשו בסינון כתובות URL במדיניות היררכית של חומת אש

כדי למנוע התאמות לא מכוונות של תנועה, מומלץ להימנע משימוש בפרופילי אבטחה של סינון כתובות URL במדיניות חומת האש ההיררכית. במקום זאת, משתמשים בפרופילים של סינון כתובות URL במדיניות חומת האש הגלובלית או האזורית של הרשת.

שימוש בפרופיל אבטחה לסינון כתובות URL בכלל של מדיניות חומת אש היררכית עלול לגרום לכך שתנועה של קבוצה רחבה של יעדים תתאים לכלל הזה. ההתאמה הרחבה הזו עלולה לגרום לפעולת ברירת המחדל של פרופיל האבטחה לאפשר או לחסום תנועה באופן לא מכוון.

יצירת פרופילי אבטחה נפרדים לצורך התרחבות

כדי לא לחרוג מהמגבלה נתמכת של מספר הדומיינים או מחרוזות ההתאמה בפרופיל אבטחה של סינון כתובות URL, צריך ליצור פרופילי אבטחה נפרדים שמקבצים דומיינים על סמך קריטריון ספציפי. לדוגמה, אפשר לקבץ דומיינים לפי סוג התנועה או המיקום והאופי של דומיין היעד, כמו תנועה מזרח-מערב (לא מוגבלת לאינטרנט) ותנועה מוגבלת לאינטרנט.

הפילוח הזה עוזר להבטיח ביצועים אופטימליים וניהול יעיל כשמשתמשים בהרבה דומיינים.

לדוגמה, אפשר ליצור פרופיל אחד לדומיינים פנימיים או לדומיינים של Cloud de Confiance by S3NS ולפרופיל אחר לדומיינים חיצוניים באינטרנט הציבורי. פרופיל נפרד לדומיינים פנימיים מאפשר להבחין בין ניתוב תנועה פנימית לבין מדיניות אבטחה. פרופיל נפרד לדומיינים חיצוניים מאפשר להחיל אמצעי אבטחה מתאימים, כמו פידים של מודיעין איומי סייבר או אמצעי בקרה מחמירים יותר על תעבורת נתונים יוצאת (egress), על תעבורה חיצונית.

המאמרים הבאים

• שירות סינון כתובות URL
• יצירה וניהול של פרופילי אבטחה לסינון כתובות URL
• יצירה וניהול של פרופילי אבטחה למניעת איומים
• יצירה וניהול של קבוצות פרופילים של אבטחה
• שימוש במדיניות ובכללים של חומת אש בין רשתות גלובליות
• שימוש בכללי מדיניות וכללים של חומת אש ברשת אזורית