Remédiation des incidents avec Cisco Firepower Threat Defense et F5 SSL Orchestrator
Concept
F5 SSL Orchestrator permet aux entreprises de sécuriser leurs infrastructures et offre l’évolutivité nécessaire pour prévenir différents types, vecteurs et formes d’attaques, tout en assurant une visibilité sans compromis sur le trafic de données transitant par diverses zones de sécurité. Associés à une stratégie robuste de protection contre les attaques par déni de service distribué (DDoS), SSL Orchestrator et son intégration à Cisco Firepower Threat Defense (FTD) fournissent les composants indispensables à la sécurité périmétrique et assurent une protection complète de l’entreprise contre les logiciels malveillants, les bots et d’autres attaques.
Afin de garantir une intégration fluide, F5 s’est associé à Cisco pour valider et élaborer des architectures de référence destinées à l’intégration de SSL Orchestrator et de Firepower Threat Defense. Les tests et la validation ont été réalisés dans les installations de F5 Labs à l’aide d’appliances Firepower virtuelles et physiques exécutant FTD.
Ce guide aide les administrateurs à identifier et à déployer des configurations validées pour les cas d’usage courants. Les scénarios clients présentés ici portent sur l’orientation et le blocage du trafic en fonction de règles, ainsi que sur la visibilité et le contrôle du trafic SSL.
Scénario utilisateur 1 : acheminement et blocage du trafic en fonction de la politique de sécurité
Ce scénario utilise SSL Orchestrator pour répartir les flux de trafic entre différentes ressources en fonction de la charge. Il peut également les répartir à l’aide de fonctions intelligentes, en s’appuyant sur des fonctionnalités telles que la gestion centralisée des politiques ou les iRules F5 pour prendre des décisions plus poussées, dont les ressources FTD peuvent tirer parti à des fins d’inspection. Par exemple, l’application A peut être dirigée vers un pool de serveurs FTD doté d’un ensemble de règles spécialisées qui surveille les signatures propres à son environnement, tandis que l’application B est dirigée vers un autre pool. L’intégration à l’API de remédiation Firepower permet au système de réagir de manière dynamique afin de réduire la sollicitation de l’infrastructure FTD, en utilisant une iRule pour ajouter une adresse IP à une liste de blocage. Le trafic provenant de l’auteur identifié est bloqué avant d’entrer dans FTD pendant une durée prédéfinie. L’une des stratégies des attaquants consistant à générer un volume considérable de trafic parasite pour masquer l’attaque réelle, cette tactique de remédiation permet à FTD de concentrer ses ressources sur l’identification de nouvelles attaques sans avoir à traiter les attaquants déjà identifiés.
Scénario utilisateur 2 : visibilité et contrôle SSL
La terminaison SSL est un processus gourmand en ressources, mais les équipements F5 intègrent des processeurs matériels dédiés, spécialisés dans le traitement SSL. Pour les scénarios de déploiement des flux entrants comme sortants, l’utilisation conjointe de SSL Orchestrator et de FTD offre une visibilité sans compromis sur le trafic SSL.
Les applications entrantes sont rarement déployées sans tenir compte de la haute disponibilité, et la terminaison SSL sur une instance F5 BIG-IP garantit une distribution sécurisée et optimisée des applications, tout en offrant aux capteurs FTD une visibilité sur le trafic SSL. Lorsque la politique de sécurité l’exige, le trafic peut être chiffré à nouveau avant d’être transmis aux serveurs back-end.
La multiplication des sites web utilisant désormais le chiffrement SSL pour protéger les utilisateurs complique la tâche des pools de capteurs FTD chargés d’éliminer les logiciels malveillants et les attaques. SSL Orchestrator peut offrir une visibilité complète sur le trafic des utilisateurs.
Architectures de déploiement validées courantes
Protection du trafic entrant : topologie entrante
SSL Orchestrator prend en charge l’inspection du trafic SSL/TLS entrant afin d’empêcher que des menaces chiffrées ne passent inaperçues et ne compromettent des ressources critiques. Il protège vos applications et vos serveurs en éliminant les angles morts de sécurité et en bloquant les menaces dissimulées.
L’architecture validée comprend un pool de dispositifs Firepower avec équilibrage de charge, placé en frontal des pools de serveurs d’applications web. Cette approche optimise l’efficacité de la solution combinée de Cisco et F5, tout en assurant la visibilité et le contrôle du trafic SSL, ainsi que la gestion et le blocage du trafic. Le trafic de la zone d’inspection est déchiffré le temps nécessaire à son analyse par les dispositifs Firepower, puis rechiffré avant d’être envoyé au serveur d’applications ou au client.
Dans la figure 1, les services Firepower inspectent et bloquent tous les flux réseau, et génèrent des rapports à leur sujet. Après avoir traversé les équipements FTD, le trafic est réacheminé via SSL Orchestrator. Cela permet d’inspecter le trafic et, si nécessaire, de bloquer des adresses IP.
Protection du trafic sortant : topologie de sortie
SSL Orchestrator prend en charge l’inspection des flux SSL/TLS sortants afin d’empêcher les logiciels malveillants de pénétrer dans le réseau de l’entreprise et de bloquer les communications de commande et de contrôle (C&C) via des canaux chiffrés. La solution met fin aux infections par des logiciels malveillants, à l’exfiltration de données et aux communications C&C.
L’architecture validée protège les clients internes contre les menaces provenant d’Internet. Les clients accèdent à Internet via SSL Orchestrator, qui déchiffre ce trafic et en envoie une copie aux équipements Firepower à des fins d’inspection.
Configuration de SSL Orchestrator
Ces procédures supposent qu’une topologie SSL Orchestrator opérationnelle, entrante ou sortante, existe déjà. Elles portent sur l’ajout d’un service TAP Cisco Firepower, selon les étapes suivantes :
- Créez le service TAP Firepower.
- Créez des iRules.
- Créez des serveurs virtuels.
- Associez les iRules aux serveurs virtuels.
Les deux types de topologie sont pris en charge et la configuration de la solution de remédiation Cisco est identique. Si vous ne disposez pas encore d’une topologie SSL Orchestrator opérationnelle, consultez la série d’articles sur SSL Orchestrator publiée sur F5 DevCentral pour connaître toutes les étapes de configuration.
Ce guide décrit les étapes nécessaires au déploiement de Cisco FTD avec SSL Orchestrator, notamment la configuration des services Firepower (nœuds Firepower), de la politique de sécurité et des iRules. FTD peut être déployé en tant que solution de couche 2/3 ou TAP. SSL Orchestrator peut être déployé en tant que solution de couche 2 ou 3. SSL Orchestrator offre la flexibilité nécessaire pour choisir le mode de déploiement qui vous convient le mieux. Par exemple, SSL Orchestrator peut être déployé en mode couche 2 tandis que FTD est déployé en mode couche 3, et inversement.
Une bonne connaissance des concepts et technologies de déploiement F5, ainsi que des notions de base en matière de réseau, est indispensable pour configurer et déployer SSL Orchestrator. Pour plus d’informations sur la configuration et la mise en place du réseau, consultez le site d’assistance de F5, AskF5.
Étape 1 : Créer le service TAP Firepower
Bien que l’assistant de configuration guidée permette de configurer la majeure partie de cette solution, certaines opérations doivent être effectuées en dehors de celui-ci. Cet exemple utilise une topologie L2 sortante existante.
1. Dans l'utilitaire de configuration, cliquez sur SSL Orchestrator > Configuration > Services > Add.
2. Sous Propriétés du service, sélectionnez Cisco Firepower Threat Defense TAP et cliquez sur Ajouter.
3. Nommez le service et saisissez l’adresse MAC de Firepower (ou 12:12:12:12:12:12 s’il est directement connecté à SSL Orchestrator).
4. Sous VLAN, cliquez sur Créer, saisissez un Nom (par exemple, Firepower), puis sélectionnez l’interface appropriée (2.2 dans cet exemple). Si vous avez déjà configuré le VLAN, cliquez sur Utiliser un VLAN existant, puis sélectionnez le VLAN approprié dans le menu déroulant.
Remarque: Spécifiez un identifiant de VLAN si nécessaire.
5. L’activation du remappage des ports est facultative. Cliquez sur Enregistrer et Suivant.
6. Cliquez sur la chaîne de services que vous souhaitez configurer (sslo_SC_ServiceChain dans cet exemple). Si vous ne disposez pas encore d’une chaîne de services, ajoutez-en une maintenant.
7. Sélectionnez le service Firepower et déplacez-le vers la liste Sélectionnés en cliquant sur la flèche appropriée. Cliquez sur Enregistrer.
8. Cliquez sur Enregistrer et continuer puis cliquez sur Déployer.
Étape 2 : configurer les iRules
Créez deux iRules et deux serveurs virtuels. La première iRule écoute les requêtes HTTP provenant du dispositif Firepower. Firepower répond ensuite par l’intermédiaire de son API de remédiation et envoie une requête HTTP contenant une adresse IP et une valeur de délai d’expiration. Cette adresse correspond à l’adresse IP source que SSL Orchestrator doit bloquer pendant toute la durée du délai d’expiration. Pour plus d’informations et des tutoriels sur les iRules, consultez F5 DevCentral.
1. Créez la première iRule sur SSL Orchestrator en sélectionnant Local Traffic > iRules puis en cliquant sur Create.
2. Nommez l’iRule (FTD-Control dans cet exemple), puis copiez-collez le texte de l’iRule (présenté dans la figure 3 ci-dessous) dans le champ Définition. Cliquez sur Terminé. Cette iRule sera associée au serveur virtuel Control.
3. Créez une deuxième iRule en cliquant à nouveau sur Créer.
4. Nommez la deuxième iRule (FTD-Protect dans cet exemple), puis copiez-collez le texte de l’iRule présenté dans la figure 4 ci-dessous dans le champ Définition .
5. Cliquez sur « Terminé ». Cette iRule sera associée au serveur virtuel Protect.
Étape 3 : configurez les serveurs virtuels et associez les iRules
1. Créez les serveurs virtuels en sélectionnant Local Traffic > Virtual Servers et en cliquant sur Create.
2. Nommez le serveur virtuel (en gardant à l’esprit le nom de l’iRule associée) — FTD-Control dans cet exemple. Pour le champ Type, sélectionnez Standard.
3. Pour Adresse source, saisissez 0.0.0.0/0, ce qui indique que toutes les adresses sources correspondront.
4. Pour Adresse/masque de destination, saisissez l’adresse IP sur laquelle SSL Orchestrator écoutera afin d’accepter les requêtes API de Firepower. (Dans cet exemple, il s’agit de 10.5.9.77/32, ce qui signifie que SSL Orchestrator répondra uniquement aux connexions destinées à cette adresse IP.)
Remarque : l’adresse/le masque de destination doit se trouver dans le même sous-réseau que la deuxième interface de gestion du Firepower Management Center, qui sera abordée plus loin dans ce guide.
5. Pour Trafic des VLAN et des tunnels, F5 recommande de sélectionner Activé sur… le VLAN spécifique qu’utilisera la deuxième interface de gestion de Firepower, plutôt que Tous les VLAN et tunnels.
6. Sélectionnez le même VLAN que celui qui sera utilisé par la deuxième interface de gestion Firepower (vlan509 dans cet exemple). Cliquez sur << pour déplacer le VLAN approprié vers la liste Sélectionnés.
7. Sous Ressources, cliquez sur l’iRule FTD-Control créée précédemment, puis cliquez sur << pour la déplacer vers la liste Activé ; cliquez ensuite sur Terminé.
8. Pour créer le deuxième serveur virtuel, cliquez à nouveau sur Créer.
9. Nommez le serveur virtuel (FTD-Protect dans cet exemple) et, pour le Type, cliquez sur Transfert (IP).
10. Saisissez l’adresse source (10.4.11.152/32 dans cet exemple). À des fins de test, ce serveur virtuel acceptera uniquement les connexions provenant de l’adresse IP source 10.4.11.152, afin de vérifier que tout fonctionne avec un seul client de test. Pour une topologie entrante, l’adresse source peut être définie sur 0.0.0.0/0, ce qui autorise les connexions depuis n’importe où.
11. Saisissez l’adresse/masque de destination. Dans ce cas, le réseau 10.5.11.0 est la destination que le trafic du réseau 10.4.11.0 doit emprunter pour passer par SSL Orchestrator et accéder à Internet.
12. Sous Configuration, sélectionnez Activé pour… pour Trafic VLAN et tunnel.
13. Sous Disponible, sélectionnez le VLAN d’entrée sur lequel SSL Orchestrator reçoit le trafic (Direct_all_vlan_511_2 dans cet exemple). Cliquez sur << pour le déplacer vers la liste Sélectionné .
14. Sous Ressources, cliquez sur l’iRule FTD-Protect créée précédemment. Cliquez sur << pour la déplacer vers la liste Activé , puis cliquez sur Terminé.
Vous avez maintenant :
- Créé le service TAP Firepower.
- Création d’iRules.
- Création de serveurs virtuels.
- Association des iRules aux serveurs virtuels.
Installation et configuration de Cisco FTD
Ces procédures supposent que Cisco Firepower et Firepower Management Center (FMC) disposent des licences requises, ont été déployés et fonctionnent correctement.
1. Connectez-vous au Firepower Management Center pour afficher le tableau de bord récapitulatif.
2. Cliquez sur Système > Configuration. (L’onglet Appareils s’ouvre.)
3. Cliquez sur Management Interfaces dans le menu de gauche. Une interface de gestion FMC doit être configurée pour le trafic d’événements et se trouver sur le même sous-réseau que le serveur virtuel de contrôle de SSL Orchestrator (10.5.9.77 dans les exemples).
4. Lorsque vous utilisez une machine virtuelle pour FMC, cliquez sur Ajouter un nouveau périphérique et ajoutez une deuxième carte réseau dans la console de l’hyperviseur. (Pour plus d’informations sur la procédure à suivre, consultez la capture d’écran ci-dessous ainsi que le guide d’administration de votre hyperviseur.)
5. Pour configurer la deuxième interface de gestion, cliquez sur l’icône en forme de crayon (modifier).
6. Sélectionnez Activé. (Le trafic d’événements doit être activé, mais le trafic de gestion n’est pas requis.)
7. Définissez Configuration IPv4 sur Statique. Saisissez l’adresse IP et le masque de sous-réseau, puis cliquez sur OK.
Remarque : cette interface doit se trouver sur le même VLAN et le même sous-réseau que l’interface de contrôle de SSL Orchestrator.
8. Cliquez sur Enregistrer.
Politique d’accès Firepower
Ce guide part du principe que les stratégies de prévention des intrusions et de protection contre les logiciels malveillants, qui doivent ressembler à l’exemple ci-dessous, sont activées sur l’équipement Firepower.
Politiques de remédiation Firepower
Créez ensuite une stratégie de remédiation Firepower. Une stratégie de remédiation peut déclencher diverses actions en fonction d’un ensemble de critères presque infini. Par exemple, si un événement d’intrusion est détecté, Firepower peut demander à SSL Orchestrator de bloquer l’adresse IP source pendant une durée déterminée.
1. Installez le module de remédiation F5. Pour ce faire, dans le FMC, cliquez sur Politiques > Actions > Réponses > Modules.
2. Cliquez sur Parcourir pour localiser le module de remédiation F5 sur votre ordinateur. Sélectionnez-le, cliquez sur Ouvrir, puis sur Installer. Une fois l’installation terminée, cliquez sur la loupe à droite.
3. Cliquez sur Ajouter pour configurer une instance.
4. Nommez l’instance (Block_Bad_Actors dans cet exemple). Saisissez l’adresse IP du serveur virtuel de contrôle SSL Orchestrator (10.5.9.77 dans cet exemple). La modification du délai d’expiration est facultative. Enfin, cliquez sur Créer.
5. Ensuite, sous Corrections configurées, cliquez sur Ajouter.
6. Nommez la remédiation (RemediateBlockIP dans cet exemple), puis cliquez sur Créer.
7. Sélectionnez Policies > Correlation > Create Policy pour créer une politique de corrélation qui définira quand et comment lancer la remédiation.
8. Nommez la politique de corrélation (« Remediation » dans cet exemple), puis cliquez sur Enregistrer.
9. Dans l’onglet Gestion des règles, cliquez sur Créer une règle.
10. Nommez la règle (RemediateRule dans cet exemple).
11. Pour le type d’événement, sélectionnez un événement d’intrusion se produit. (Pour les tests, consultez également la remarque à l’étape suivante.)
12. Pour la Condition, sélectionnez Pays source > est > Corée du Nord (par exemple), puis cliquez sur Enregistrer.
Remarque: le FMC peut déclencher une remédiation pour différents types d’événements, et pas uniquement en cas d’intrusion. En fait, lors de la configuration de la remédiation, vous pouvez utiliser un autre type d’événement afin de faciliter le déclenchement d’un événement et de vérifier que la remédiation a bien été effectuée. Par exemple, sélectionnez un événement de connexion se produit puis définissez la Condition sur URL > contient la chaîne > foo. La règle de remédiation devrait alors se déclencher si vous tentez d’accéder à foo.com.
13. Revenez à l’onglet Gestion des politiques et cliquez sur la politique créée précédemment (« Remediation » dans cet exemple). Cliquez sur Ajouter des règles.
14. Sélectionnez RemediateRule et cliquez sur Ajouter.
15. Cliquez sur « Enregistrer ».
Les politiques de corrélation peuvent être activées ou désactivées à l’aide du bouton situé à droite. Assurez-vous que la politique appropriée est activée.
Politiques de remédiation Firepower
Vous pouvez consulter l’état des événements de remédiation dans le FMC en cliquant sur Analyse > Corrélation > État. Dans la colonne Message de résultat, recherchez le message « Remédiation terminée avec succès ».
Conclusion
Ces pratiques recommandées permettent de configurer F5 BIG-IP SSL Orchestrator avec Cisco FTD selon une architecture éprouvée qui répond à la fois au scénario d’utilisation de visibilité et de contrôle SSL et à celui d’orientation et de blocage du trafic fondés sur des politiques IPS. Grâce à la terminaison SSL sur SSL Orchestrator, les capteurs FTD offrent une visibilité sur le trafic entrant comme sortant afin d’adapter la protection des applications, des serveurs et des autres ressources de l’organisation. En utilisant l’orientation du trafic fondée sur des politiques de sécurité, une organisation peut tirer parti de cette configuration et continuer à évoluer en ajoutant davantage d’équipements gérés par FTD afin d’accroître la capacité de traitement du trafic pour les réseaux et les applications protégés. La souplesse offerte par SSL Orchestrator en matière de politiques peut également être mise à profit pour diriger sélectivement le trafic vers différents pools de ressources en fonction des exigences métier, de sécurité ou de conformité.
PUBLIÉ LE 9 OCTOBRE 2020