Firewall-Regelaktionen und Prioritäten

Firewall-Regeln können folgende Aktionen durchführen:

Häufig angewendete Erlauben-Regeln umfassen:

Zulassungsregeln haben zwei Funktionen:

Die Übergehregel ist für medienintensive Protokolle oder für Datenverkehr von vertrauenswürdigen Quellen konzipiert, bei denen eine Filterung durch die Firewall oder Intrusion-Prevention-Module weder erforderlich noch erwünscht ist.

Ein Paket, das den Bedingungen einer Übergehen-Regel entspricht:

Da die zustandsbehaftete Inspektion nicht auf umgangenen Datenverkehr angewendet wird, führt das Umgehen des Datenverkehrs in eine Richtung nicht automatisch dazu, dass die Antwort in die andere Richtung umgangen wird. Übergehungsregeln sollten immer paarweise erstellt und angewendet werden, eine Regel für eingehenden Datenverkehr und eine andere für ausgehenden.

Server- und Workload Protection implementiert automatisch eine Priorität-4-Übergehen-Regel, die eingehenden TCP-Datenverkehr am Abhörport des Agenten für Heartbeats auf Computern, auf denen der Agent läuft, öffnet. Priorität 4 stellt sicher, dass diese Regel vor allen Verweigern-Regeln angewendet wird, und Übergehen garantiert, dass der Datenverkehr niemals beeinträchtigt wird. Die Übergehen-Regel wird nicht explizit in der Firewall-Regelliste angezeigt, da die Regel intern erstellt wird.

Diese Regel akzeptiert jedoch Datenverkehr von jeder IP-Adresse und jeder MAC-Adresse. Um die Sicherheit des Agenten auf diesem Port zu erhöhen, können Sie eine alternative, restriktivere Übergehensregel für diesen Port erstellen. Der Agent wird tatsächlich die standardmäßige Server- und Workload Protection-Verkehrsregel zugunsten der neuen benutzerdefinierten Regel deaktivieren, vorausgesetzt, sie weist diese Merkmale auf:

Die benutzerdefinierte Regel muss die oben genannten Parameter verwenden, um die Standardregel zu ersetzen. Idealerweise sollte die IP-Adresse oder MAC-Adresse von Server- und Workload Protection als Paketquelle für die Regel verwendet werden.

Die Option "Force Allow" schließt einen Teil des Datenverkehrs aus, der ansonsten durch eine Verweigern-Aktion abgedeckt worden wäre. Ihr Verhältnis zu anderen Aktionen wird unten veranschaulicht. "Force Allow" hat die gleiche Wirkung wie eine Übergehen-Regel. Im Gegensatz zu Übergehen wird der Datenverkehr, der aufgrund dieser Aktion die Firewall passiert, jedoch weiterhin vom Eindringungsschutzmodul überprüft. Die Aktion "Force Allow" ist besonders nützlich, um sicherzustellen, dass wesentliche Netzwerkdienste mit dem DSA-Computer kommunizieren können. Im Allgemeinen sollten "Force Allow"-Regeln nur in Verbindung mit Erlauben-Regeln verwendet werden, um einen Teil des Datenverkehrs zuzulassen, der durch die Erlauben- und Verweigern-Regeln verboten wurde. "Force Allow"-Regeln sind auch erforderlich, um unaufgeforderten ICMP- und UDP-Datenverkehr zuzulassen, wenn ICMP und UDP zustandsbehaftet aktiviert sind.

Pakete, die an einem Computer ankommen, werden zuerst von den Firewall-Regeln, dann von den zustandsbehafteten Firewall-Konfigurationsbedingungen und schließlich von den Regeln zum Eindringschutz verarbeitet.

Dies ist die Reihenfolge, in der Firewall-Regeln angewendet werden (eingehend und ausgehend):

Übergehungsregeln erzeugen niemals ein Ereignis. Dies ist nicht konfigurierbar.

Protokollierungsregeln erzeugen nur dann ein Ereignis, wenn das betreffende Paket nicht anschließend durch eine der folgenden Maßnahmen gestoppt wird:

Wenn das Paket von einer dieser beiden Regeln gestoppt wird, erzeugen diese Regeln das Ereignis und nicht die Nur-Log-Regel. Wenn keine nachfolgenden Regeln das Paket stoppen, wird die Nur-Log-Regel ein Ereignis erzeugen.

Server- und Workload Protection-Firewall-Regeln haben sowohl eine Regelaktion als auch eine Regelpriorität. In Kombination ermöglichen diese beiden Eigenschaften die Erstellung sehr flexibler und leistungsstarker Regelsets. Im Gegensatz zu Regelsets, die von anderen Firewalls verwendet werden und möglicherweise erfordern, dass die Regeln in der Reihenfolge definiert werden, in der sie ausgeführt werden sollen, werden Server- und Workload Protection-Firewall-Regeln in einer deterministischen Reihenfolge basierend auf der Regelaktion und der Regelpriorität ausgeführt, die unabhängig von der Reihenfolge ist, in der sie definiert oder zugewiesen werden.

Jede Regel kann eine von vier Aktionen haben.

Regelaktionen vom Typ Verweigern und Erzwingen erlauben können bei einer von 5 Prioritäten definiert werden, um eine weitere Verfeinerung des durch die Menge der Erlauben-Regeln definierten zulässigen Verkehrs zu ermöglichen. Regeln werden in der Reihenfolge der Priorität von der höchsten (Priorität 4) zur niedrigsten (Priorität 0) ausgeführt. Innerhalb einer bestimmten Prioritätsstufe werden die Regeln in der Reihenfolge basierend auf der Regelaktion (Erzwingen erlauben, Verweigern, Erlauben, nur protokollieren) verarbeitet.

Der Prioritätskontext ermöglicht es einem Benutzer, die Verkehrskontrollen sukzessive mit Kombinationen aus Verweigern- und Erzwingen-Erlauben-Regeln zu verfeinern. Innerhalb desselben Prioritätskontexts kann eine Erlauben-Regel mit einer Verweigern-Regel negiert werden, und eine Verweigern-Regel kann durch eine Erzwingen-Erlauben-Regel negiert werden.

Regeln werden in der Reihenfolge der Priorität von der höchsten (Priorität 4) zur niedrigsten (Priorität 0) ausgeführt. Innerhalb einer bestimmten Prioritätsstufe werden die Regeln basierend auf der Regelaktion in der Reihenfolge verarbeitet. Die Reihenfolge, in der Regeln mit gleicher Priorität verarbeitet werden, ist wie folgt: