Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Firewall Palo Alto in uscita gestito

AMS fornisce una soluzione firewall Managed Palo Alto egress, che consente il filtraggio del traffico in uscita verso Internet per tutte le reti nell'ambiente Multi-Account Landing Zone (esclusi i servizi rivolti al pubblico). Questa soluzione combina la tecnologia firewall leader del settore (Palo Alto VM-300) con le funzionalità di gestione dell'infrastruttura di AMS per implementare, monitorare, gestire, scalare e ripristinare l'infrastruttura all'interno di ambienti operativi conformi. Le terze parti, inclusa Palo Alto Networks, non hanno accesso ai firewall; sono gestiti esclusivamente dai tecnici AMS.

Controllo del traffico

La soluzione di firewall gestito in uscita gestisce un elenco di domini consentiti composto da domini richiesti da AMS per servizi come backup e patch, oltre ai domini definiti dall'utente. Quando il traffico Internet in uscita viene indirizzato al firewall, viene aperta una sessione, il traffico viene valutato e, se corrisponde a un dominio consentito, il traffico viene inoltrato alla destinazione.

Architettura

La soluzione firewall gestita in uscita segue un modello ad alta disponibilità, in cui vengono implementati da due a tre firewall a seconda del numero di zone di disponibilità (). AZs La soluzione utilizza parte dello spazio IP del VPC in uscita predefinito, ma fornisce anche un'estensione VPC (/24) per le risorse aggiuntive necessarie per la gestione dei firewall.

Flusso di rete

Ad un livello elevato, il routing del traffico pubblico in uscita rimane lo stesso, ad eccezione del modo in cui il traffico viene instradato verso Internet dal VPC in uscita:

I firewall stessi contengono tre interfacce:

Durante tutto il routing, il traffico viene mantenuto all'interno della stessa zona di disponibilità (AZ) per ridurre il traffico inter-AZ. Il traffico attraversa solo AZs quando si verifica un failover.

Modifica dell'elenco delle autorizzazioni

Dopo l'onboarding, ams-allowlist viene creata una lista di autorizzazioni predefinita denominata, contenente gli endpoint pubblici richiesti da AMS e gli endpoint pubblici per l'applicazione di patch agli host Windows e Linux. Una volta operativi, è possibile creare RFC nella console AMS nella categoria Management | Managed Firewall | Outbound (Palo Alto) per creare o eliminare elenchi di autorizzazioni o modificare i domini. Tieni presente che non può essere modificato. ams-allowlist Le RFC vengono gestite in modo completamente automatico (non sono manuali).

Politica di sicurezza personalizzata

Le politiche di sicurezza determinano se bloccare o consentire una sessione in base agli attributi del traffico, come l'area di sicurezza di origine e destinazione, l'indirizzo IP di origine e destinazione e il servizio. Le politiche di sicurezza personalizzate sono supportate in modo completamente automatizzato RFCs. CTs per creare o eliminare una politica di sicurezza è disponibile nella categoria Management | Managed Firewall | Outbound (Palo Alto), mentre il CT per modificare una politica di sicurezza esistente è disponibile nella categoria Deployment | Managed Firewall | Outbound (Palo Alto). Potrai creare nuove politiche di sicurezza, modificare le politiche di sicurezza o eliminare le politiche di sicurezza.

CloudWatch Pannelli di controllo PA in uscita

Sono disponibili due dashboard CloudWatch per fornire una visualizzazione aggregata di Palo Alto (PA). La dashboard AMS-MF-PA-Egress-Config-Config fornisce una panoramica della configurazione PA, collegamenti agli elenchi di autorizzazione e un elenco di tutte le politiche di sicurezza, inclusi i relativi attributi. La dashboard AMS-MF-PA-Egress-Dashboard può essere personalizzata per filtrare i registri di traffico. Ad esempio, per creare una dashboard per una politica di sicurezza, puoi creare un RFC con un filtro come:

fields @timestamp, @message
| filter @logStream like /pa-traffic-logs/
| filter @message like /<Security Policy Name>/
| parse @message "*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*," as x1, @x2, @x3, @x4, @type, @x6, @x7, @source_ip, @destination_ip, @source_nat_ip, @dest_nat_ip, @rule, @x13, @x14, @application, @x16, @from_zone, @to_zone, @x19, @x20, @x21, @x22, @session_id, @x24, @source_port, @destination_port, @source_nat_port, @destination_nat_port, @x29, @protocol, @action, @bytes, @bytes_sent, @bytes_recieved, @packets, @x36, @x37, @category, @x39, @x40, @x41, @source_country, @destination_country, @x44, @packets_sent, @packets_recieved, @session_end_reason, @x48, @x49, @x50
| display @timestamp, @rule, @action, @session_end_reason, @protocol, @source_ip, @destination_ip, @source_port, @destination_port, @session_id, @from_zone, @to_zone, @category, @bytes_sent, @bytes_recieved, @packets_sent, @packets_recieved, @source_country, @destination_country

Modello di failover

La soluzione firewall include due-tre host Palo Alto (PA) (uno per AZ). Healthy check canaries funziona secondo un programma costante per valutare lo stato di salute degli host. Se un host viene identificato come non integro, AMS riceve una notifica e il traffico per quella AZ viene automaticamente spostato su un host integro in un'altra AZ modificando la tabella delle rotte. Poiché il flusso di lavoro relativo al controllo dello stato è in esecuzione costante, se l'host torna a funzionare correttamente a causa di problemi temporanei o di una correzione manuale, il traffico torna alla zona di disponibilità corretta con l'host integro.

Dimensionamento

AMS monitora il firewall per verificare la velocità di trasmissione e i limiti di scalabilità. Quando i limiti di velocità effettiva superano le soglie minime (CPU/rete), AMS riceve un avviso. Una soglia di produzione di acqua bassa indica che le risorse si stanno avvicinando alla saturazione, tanto che AMS valuterà le metriche nel tempo e suggerirà soluzioni di scalabilità.

Backup e ripristino

I backup vengono creati durante l'avvio iniziale, dopo eventuali modifiche alla configurazione e a intervalli regolari. I backup iniziali all'avvio vengono creati per ogni host, ma le modifiche alla configurazione e i backup a intervalli regolari vengono eseguiti su tutti gli host del firewall quando viene richiamato il flusso di lavoro di backup. I tecnici AMS possono creare backup aggiuntivi al di fuori di tali finestre o fornire dettagli di backup, se richiesto.

Se necessario, gli ingegneri AMS possono eseguire il ripristino dei backup di configurazione. Se è necessario un ripristino, questo verrà eseguito su tutti gli host per mantenere sincronizzata la configurazione tra gli host.

Il ripristino può avvenire anche quando un host richiede il riciclo completo di un'istanza. Il ripristino automatico del backup più recente si verifica quando viene eseguito il provisioning di una nuova EC2 istanza. In generale, gli host non vengono riciclati regolarmente e sono riservati ai guasti gravi o agli scambi AMI richiesti. I ricicli degli host vengono avviati manualmente e l'utente riceve una notifica prima che si verifichi un riciclo.

Oltre ai backup della configurazione del firewall, il backup delle regole specifiche dell'elenco di autorizzazioni viene eseguito separatamente. Un backup viene creato automaticamente quando le regole dell'elenco di autorizzazioni definite vengono modificate. Il ripristino del backup dell'elenco delle autorizzazioni può essere eseguito da un tecnico AMS, se necessario.

Aggiornamenti

La soluzione AMS Managed Firewall richiede vari aggiornamenti nel tempo per aggiungere miglioramenti al sistema, funzionalità aggiuntive o aggiornamenti al sistema operativo (OS) o al software del firewall.

La maggior parte delle modifiche non influirà sull'ambiente in esecuzione, ad esempio l'aggiornamento dell'infrastruttura di automazione, ma altre modifiche, come la rotazione delle istanze del firewall o l'aggiornamento del sistema operativo, potrebbero causare interruzioni. Quando viene valutata una potenziale interruzione del servizio dovuta agli aggiornamenti, AMS si coordinerà con il cliente per adattare le finestre di manutenzione.

Accesso da parte dell'operatore

Gli operatori AMS utilizzano ActiveDirectory le proprie credenziali per accedere al dispositivo Palo Alto ed eseguire operazioni (ad esempio, applicare patch, rispondere a un evento, ecc.). La soluzione conserva i registri standard di autenticazione e modifica della configurazione degli operatori AMS per tenere traccia delle azioni eseguite sugli host di Palo Alto.

Registri predefiniti

Per impostazione predefinita, i log generati dal firewall risiedono nella memoria locale di ogni firewall. Nel tempo, i log locali verranno eliminati in base all'utilizzo dello storage. La soluzione AMS fornisce l'invio in tempo reale dei log dalle macchine ai CloudWatch registri; per ulteriori informazioni, vedere. CloudWatch Integrazione dei log

Gli ingegneri AMS hanno ancora la possibilità di interrogare ed esportare i log direttamente dalle macchine, se necessario. Inoltre, i registri possono essere spediti a un Panorama di proprietà del cliente; per ulteriori informazioni, vedere. Integrazione Panorama

I registri raccolti dalla soluzione sono i seguenti:

Gestione degli eventi

AMS monitora continuamente la capacità, lo stato di integrità e la disponibilità del firewall. Le metriche generate dal firewall, così come le metriche AWS/AMS generate, vengono utilizzate per creare allarmi che vengono ricevuti dai tecnici operativi di AMS, che esamineranno e risolveranno il problema. Gli allarmi attuali coprono i seguenti casi:

Allarmi relativi agli eventi:

Gestione degli allarmi:

Parametri

Tutte le metriche vengono acquisite e archiviate CloudWatch nell'account di rete. Queste possono essere visualizzate accedendo dalla console all'account di rete e accedendo alla CloudWatch console. Le singole metriche possono essere visualizzate nella scheda Metriche o in un pannello di controllo a riquadro singolo di determinate metriche, mentre le metriche aggregate possono essere visualizzate accedendo alla scheda Dashboard e selezionando AMS-MF-PA-Egress-Dashboard.

Metriche personalizzate:

CloudWatch Integrazione dei log

CloudWatch L'integrazione dei log inoltra i log dai firewall ai registri, riducendo così il rischio di perdita dei CloudWatch log a causa dell'utilizzo dello storage locale. I log vengono compilati in tempo reale man mano che i firewall li generano e possono essere visualizzati su richiesta tramite la console o l'API.

È possibile creare query complesse per l'analisi dei log o esportarle in formato CSV utilizzando Insights. CloudWatch Inoltre, la CloudWatch dashboard personalizzata di AMS Managed Firewall mostrerà anche una rapida visualizzazione di specifiche query relative al registro del traffico e una visualizzazione grafica del traffico e degli accessi alle politiche nel tempo. L'utilizzo dei CloudWatch log consente inoltre l'integrazione nativa con altri servizi AWS come AWS Kinesis.

Integrazione Panorama

AMS Managed Firewall può, opzionalmente, essere integrato con il tuo Panorama esistente. Ciò consente di visualizzare le configurazioni del firewall da Panorama o inoltrare i log dal firewall a Panorama. L'integrazione di Panorama con AMS Managed Firewall è di sola lettura e non sono consentite modifiche alla configurazione dei firewall da Panorama. Panorama è completamente gestito e configurato da te, AMS sarà responsabile solo della configurazione dei firewall per comunicare con esso.

Licenze

Il prezzo di AMS Managed Firewall dipende dal tipo di licenza utilizzata, oraria o BYOL (Bring Your Own License) e dalla dimensione dell'istanza in cui viene eseguita l'appliance. Devi ordinare le dimensioni delle istanze e le licenze del firewall Palo Alto che preferisci tramite AWS Marketplace.

Limitazioni

Al momento, AMS supporta i firewall della serie VM-300 o della serie VM-500. Le configurazioni sono disponibili qui: modelli della serie VM su istanze AWS, EC2

Requisiti per l'onboarding

Prezzi

I costi dell'infrastruttura di base di AMS Managed Firewall sono suddivisi in tre fattori principali: l' EC2 istanza che ospita il firewall Palo Alto, la licenza software, le licenze Palo Alto VM-Series e le integrazioni. CloudWatch

I prezzi seguenti si basano sul firewall della serie VM-300.