Remediação de incidentes com o Cisco Firepower Threat Defense e o F5 SSL Orchestrator
Conceito
O F5 SSL Orchestrator permite que as empresas protejam seus ambientes corporativos e oferece a escalabilidade necessária para prevenir diversos tipos, vetores e formas de ataque, ao mesmo tempo que proporciona visibilidade irrestrita do tráfego de dados que atravessa diferentes zonas de segurança. Quando combinado com uma estratégia robusta de proteção contra ataques distribuídos de negação de serviço (DDoS), o SSL Orchestrator e sua integração com o Cisco Firepower Threat Defense (FTD) fornecem os componentes necessários para a segurança de perímetro e oferecem proteção abrangente contra malware, bots e outros ataques.
Para alcançar uma integração perfeita, a F5 firmou uma parceria com a Cisco para validar e produzir arquiteturas de referência para a integração do SSL Orchestrator com o Firepower Threat Defense. Os testes e a validação foram realizados nas instalações do F5 Labs, usando dispositivos Firepower virtuais e físicos com FTD.
Este guia ajuda os administradores a identificar e implantar configurações validadas para casos de uso comuns. Os cenários de clientes definidos aqui abordam o direcionamento e o bloqueio de tráfego com base em políticas, bem como a visibilidade e o controle de SSL.
Cenário de usuário 1: Direcionamento e bloqueio de tráfego com base na política de segurança
Este cenário utiliza o SSL Orchestrator para distribuir os fluxos de tráfego entre diferentes recursos com base na carga. Como alternativa, a distribuição é feita com o uso de inteligência de negócios, com base em recursos como o gerenciamento centralizado de políticas ou F5 iRules para processos de tomada de decisão mais aprofundados, que os recursos do FTD podem aproveitar para inspeção. Por exemplo, o Aplicativo A pode ser direcionado a um pool de servidores FTD com um conjunto de regras especializado que monitora assinaturas específicas de seu ambiente, enquanto o Aplicativo B é direcionado a outro pool. A integração com a API de remediação do Firepower permite que o sistema reaja dinamicamente para reduzir a demanda sobre a infraestrutura do FTD, usando uma iRule para adicionar um endereço IP a uma lista de bloqueio. O tráfego proveniente do agente mal-intencionado identificado é bloqueado antes de entrar no FTD por um período predefinido. Como uma das estratégias dos invasores é gerar uma quantidade excessiva de tráfego de distração para ocultar o ataque real, essa tática de remediação permite que o FTD concentre seus recursos na identificação de novos ataques, sem precisar remediar invasores já identificados.
Cenário de usuário 2: visibilidade e controle de SSL
A terminação SSL é um processo que exige muitos recursos, mas os dispositivos F5 incluem processadores de hardware dedicados e especializados no processamento SSL. Tanto em cenários de implantação de entrada quanto de saída, o uso do SSL Orchestrator em conjunto com o FTD proporciona visibilidade total do tráfego SSL.
Aplicações de entrada raramente são implantadas sem considerar a alta disponibilidade, e a terminação SSL em uma instância do F5 BIG-IP garante a entrega segura e aprimorada de aplicações, ao mesmo tempo que proporciona aos sensores FTD visibilidade do tráfego SSL. Quando exigido pela política de segurança, o tráfego pode ser criptografado novamente antes de ser encaminhado aos servidores de back-end.
A proliferação de sites que agora usam criptografia SSL para proteger os usuários representa um desafio para os pools de sensores FTD em sua missão de eliminar malware e ataques. O SSL Orchestrator pode proporcionar visibilidade total do tráfego dos usuários.
Arquiteturas comuns de implantação validadas
Proteção do tráfego de entrada: topologia de entrada
O SSL Orchestrator oferece suporte à inspeção de tráfego SSL/TLS de entrada para evitar que ameaças criptografadas passem despercebidas e comprometam ativos críticos. Ele protege seus aplicativos e servidores, eliminando pontos cegos de segurança e bloqueando ameaças ocultas.
A arquitetura validada contém um pool com balanceamento de carga de dispositivos Firepower posicionados à frente dos pools de servidores de aplicações Web. Essa abordagem maximiza a eficácia da solução combinada da Cisco e da F5, ao mesmo tempo que oferece visibilidade e controle de SSL, além de gerenciamento e bloqueio de tráfego. O tráfego da zona de inspeção é descriptografado pelo tempo necessário para ser inspecionado pelos dispositivos Firepower e, em seguida, criptografado novamente antes de ser enviado ao servidor de aplicações ou ao cliente.
Na Figura 1, os Serviços Firepower inspecionam, bloqueiam e geram relatórios sobre todos os fluxos de rede. Depois de passar pelos dispositivos FTD, o tráfego é roteado novamente pelo SSL Orchestrator. Isso garante que o tráfego possa ser inspecionado e, se necessário, que endereços IP possam ser bloqueados.
Proteção do tráfego de saída: topologia de saída
O SSL Orchestrator oferece suporte à inspeção de tráfego SSL/TLS de saída para impedir que malwares invadam a rede corporativa e evitar comunicações de comando e controle (C&C) por canais criptografados. A solução bloqueia infecções por malware, exfiltração de dados e comunicações de C&C.
A arquitetura validada protege os clientes internos contra ameaças provenientes da Internet. Os clientes acessam a Internet por meio do SSL Orchestrator, que descriptografa esse tráfego e envia uma cópia dele aos dispositivos Firepower para inspeção.
Configuração do SSL Orchestrator
Estes procedimentos pressupõem a existência de uma topologia funcional do SSL Orchestrator, seja de entrada ou de saída, e se concentram na adição de um serviço TAP do Cisco Firepower, incluindo as seguintes etapas:
- Crie o serviço TAP do Firepower.
- Crie iRules.
- Crie servidores virtuais.
- Anexe as iRules aos servidores virtuais.
Ambos os tipos de topologia são compatíveis, e a configuração da solução de remediação da Cisco é a mesma. Se você ainda não tiver uma topologia funcional do SSL Orchestrator, consulte a série de artigos sobre o SSL Orchestrator no F5 DevCentral para obter todas as etapas de configuração.
Este guia descreve as etapas necessárias para implantar o Cisco FTD com o SSL Orchestrator, incluindo a configuração dos Firepower Services (nós do Firepower), da política de segurança e a aplicação de iRules. O FTD pode ser implantado como uma solução de camada 2/3 ou TAP. O SSL Orchestrator pode ser implantado como uma solução de camada 2 ou 3. O SSL Orchestrator oferece flexibilidade para que a implantação seja feita da maneira mais adequada às suas necessidades. Por exemplo, o SSL Orchestrator pode ser implantado no modo de camada 2 enquanto o FTD é implantado no modo de camada 3, e vice-versa.
É essencial ter familiaridade com os conceitos e a tecnologia de implantação da F5, bem como com os fundamentos de redes, para configurar e implantar o SSL Orchestrator. Para obter mais detalhes sobre configuração e instalação de rede, acesse o site de suporte da F5, AskF5.
Etapa 1: Criar o serviço TAP do Firepower
Embora o assistente de Configuração Guiada ajude a configurar a maior parte desta solução, algumas etapas precisam ser realizadas fora dele. Este exemplo usa uma topologia de saída L2 existente.
1. No Utilitário de Configuração, clique em SSL Orchestrator > Configuração > Serviços > Adicionar.
2. Em Propriedades do serviço, selecione Cisco Firepower Threat Defense TAP e clique em Adicionar.
3. Nomeie o serviço e insira o endereço MAC do Firepower (ou 12:12:12:12:12:12 se ele estiver conectado diretamente ao SSL Orchestrator).
4. Em VLAN, clique em Criar novo, insira um Nome (por exemplo, Firepower) e selecione a interface correta (2.2 neste exemplo). Ou, se você já tiver configurado a VLAN, clique em Usar existente, em seguida, selecione a VLAN apropriada no menu suspenso.
Observação: Especifique uma tag de VLAN, se necessário.
5. Habilitar o Remapeamento de portas é opcional. Clique em Salvar e avançar.
6. Clique na Cadeia de Serviços que deseja configurar (sslo_SC_ServiceChain neste exemplo). Se você não tiver uma cadeia de serviços existente, adicione uma agora.
7. Selecione o serviço Firepower e mova-o para a lista Selecionados clicando na seta apropriada. Clique em Salvar.
8. Clique em Salvar e avançar e depois clique em Implantar.
Etapa 2: configurar iRules
Crie duas iRules e dois servidores virtuais. A primeira iRule escuta as solicitações HTTP do dispositivo Firepower. Em seguida, o Firepower responde por meio de sua API de remediação e envia uma solicitação HTTP contendo um endereço IP e um valor de tempo limite. O endereço é o IP de origem que será bloqueado pelo SSL Orchestrator durante o período definido pelo tempo limite. Para obter detalhes e acessar tutoriais sobre iRules, consulte F5 DevCentral.
1. Crie a primeira iRule no SSL Orchestrator selecionando Local Traffic > iRules e clicando em Create.
2. Dê um nome à iRule (FTD-Control neste exemplo) e, em seguida, copie e cole o texto da iRule (mostrado na Figura 3 abaixo) no campo Definition . Clique em Finished. Essa iRule será associada ao servidor virtual de controle.
3. Crie uma segunda iRule clicando em Criar novamente.
4. Nomeie a segunda iRule (FTD-Protect neste exemplo) e, em seguida, copie e cole o texto da iRule mostrado na Figura 4 abaixo no campo Definição.
5. Clique em Concluído. Essa iRule será associada ao servidor virtual de proteção.
Etapa 3: configure os servidores virtuais e associe as iRules
1. Crie os servidores virtuais selecionando Local Traffic > Virtual Servers e clicando em Create.
2. Dê um nome ao servidor virtual (levando em consideração o nome da iRule associada) — FTD-Control neste exemplo. Em Tipo, selecione Padrão.
3. Em Endereço de origem, insira 0.0.0.0/0, o que indica que qualquer endereço de origem será correspondido.
4. Em Endereço/máscara de destino, insira o endereço IP no qual o SSL Orchestrator escutará para aceitar solicitações de API do Firepower. (Neste exemplo, é 10.5.9.77/32, o que indica que o SSL Orchestrator responderá apenas às conexões destinadas a esse único endereço IP.
Observação: O endereço/máscara de destino deve estar na mesma sub-rede que a segunda interface de gerenciamento do Firepower Management Center, que será abordada mais adiante neste guia.
5. Para VLANs e tráfego de túnel, a F5 recomenda selecionar Habilitado em… a VLAN específica que será usada pela segunda interface de gerenciamento do Firepower, em vez de Todas as VLANs e túneis.
6. Selecione a mesma VLAN que será usada pela segunda interface de gerenciamento do Firepower (vlan509 neste exemplo). Clique em << para mover a VLAN correta para a lista Selecionadas.
7. Em Recursos, clique na iRule FTD-Control criada anteriormente e clique em << para movê-la para a lista Habilitados, depois clique em Concluído.
8. Para criar o segundo servidor virtual, clique em Criar novamente.
9. Nomeie o servidor virtual (FTD-Protect neste exemplo) e, em Tipo, clique em Encaminhamento (IP).
10. Insira o Endereço de origem (10.4.11.152/32 neste exemplo). Esse servidor virtual aceitará apenas conexões com o IP de origem 10.4.11.152 para fins de teste, a fim de garantir que tudo funcione com um único cliente de teste. Para uma topologia de entrada, o Endereço de origem pode ser definido como 0.0.0.0/0, o que permitiria conexões de qualquer lugar.
11. Insira o Endereço/Máscara de destino. Nesse caso, a rede 10.5.11.0 é o destino que o tráfego da rede 10.4.11.0 deve alcançar para passar pelo SSL Orchestrator e seguir para a Internet.
12. Em Configuração, selecione Habilitado em… para Tráfego de VLAN e túnel.
13. Em Disponível, selecione a VLAN de entrada na qual o SSL Orchestrator está recebendo tráfego (Direct_all_vlan_511_2 neste exemplo). Clique em << para movê-la para a lista Selecionados.
14. Em Recursos, clique na iRule FTD-Protect criada anteriormente. Clique em << para movê-la para a lista Habilitados e, em seguida, clique em Concluído.
Agora você tem:
- Criou o serviço TAP do Firepower.
- Criou iRules.
- Servidores virtuais criados.
- Anexou as iRules aos servidores virtuais.
Instalação e configuração do Cisco FTD
Estes procedimentos pressupõem que o Cisco Firepower e o Firepower Management Center (FMC) estejam licenciados, implantados e funcionando corretamente.
1. Faça login no Firepower Management Center para visualizar o Painel de resumo.
2. Clique em Sistema > Configuração. (A guia Dispositivos será aberta.)
3. Clique em Interfaces de gerenciamento no menu à esquerda. Uma interface de gerenciamento do FMC deve ser configurada para o tráfego de eventos e estar na mesma sub-rede que o Servidor Virtual de Controle no SSL Orchestrator (10.5.9.77 nos exemplos).
4. Ao usar uma máquina virtual para o FMC, clique em Adicionar novo dispositivo e adicione uma segunda placa de rede no console do hipervisor. (Consulte a captura de tela abaixo e o guia de administração do hipervisor para obter mais informações sobre como fazer isso.)
5. Para configurar a segunda interface de gerenciamento, clique no ícone de lápis (editar).
6. Selecione Habilitado. (O tráfego de eventos deve estar habilitado, mas o tráfego de gerenciamento não é obrigatório.)
7. Defina Configuração IPv4 como Estática. Insira o endereço IP e a máscara de sub-rede e clique em OK.
Observação: esta interface deve estar na mesma VLAN e sub-rede que a interface de controle no SSL Orchestrator.
8. Clique em Salvar.
Política de acesso do Firepower
Este guia pressupõe que as políticas de intrusão e malware, que devem ser semelhantes ao exemplo abaixo, estejam habilitadas para o dispositivo Firepower.
Políticas de remediação do Firepower
Em seguida, crie uma política de remediação do Firepower. Uma política de remediação pode executar diversas ações com base em um conjunto praticamente infinito de critérios. Por exemplo, se um evento de intrusão for detectado, o Firepower poderá instruir o SSL Orchestrator a bloquear o IP de origem por um determinado período.
1. Instale o Módulo de Remediação da F5. Para isso, no FMC, clique em Políticas > Ações > Respostas > Módulos.
2. Clique em Procurar para localizar o Módulo de Remediação F5 no seu computador. Selecione-o, clique em Abrir, depois clique em Instalar. Após a instalação, clique na lupa à direita.
3. Clique em Adicionar para configurar uma instância.
4. Nomeie a instância (Block_Bad_Actors neste exemplo). Insira o endereço IP do Servidor Virtual de Controle do SSL Orchestrator (10.5.9.77 neste exemplo). A alteração do Tempo limite é opcional. Por fim, clique em Criar.
5. Em seguida, em Correções configuradas, clique em Adicionar.
6. Nomeie a remediação (RemediateBlockIP neste exemplo) e clique em Criar.
7. Selecione Políticas > Correlação > Criar política para criar uma Política de Correlação, que definirá quando e como iniciar a correção.
8. Nomeie a política de correlação (Remediação neste exemplo) e clique em Salvar.
9. Na guia Gerenciamento de Regras, clique em Criar Regra.
10. Nomeie a regra (RemediateRule neste exemplo).
11. Para o tipo de evento, selecione ocorre um evento de intrusão. (Para fins de teste, consulte também a observação na próxima etapa.)
12. Em Condição, selecione País de origem > é > Coreia do Norte (por exemplo) e clique em Salvar.
Observação: o FMC pode acionar uma remediação para vários eventos diferentes, não apenas para intrusões. Na verdade, ao configurar a remediação, talvez seja melhor usar outro tipo de evento para facilitar o acionamento de um evento e verificar se ele foi remediado com êxito. Por exemplo, selecione ocorre um evento de conexão e defina a Condição como URL > contém a string > foo. Assim, a regra de remediação deverá ser acionada se você tentar acessar foo.com.
13. Volte para a guia Gerenciamento de Políticas e clique na política criada anteriormente (Remediação, neste exemplo). Clique em Adicionar Regras.
14. Selecione RemediateRule e clique em Adicionar.
15. Clique em Salvar.
As políticas de correlação podem ser ativadas ou desativadas usando o botão à direita. Verifique se a política correta está ativada.
Políticas de remediação do Firepower
O status dos eventos de remediação pode ser visualizado no FMC clicando em Análise > Correlação > Status. Consulte a coluna Mensagem de resultado para verificar a mensagem “Remediação concluída com êxito”.
Conclusão
Estas práticas recomendadas configuram o F5 BIG-IP SSL Orchestrator com o Cisco FTD em uma arquitetura comprovadamente capaz de atender tanto ao cenário de visibilidade e controle de SSL quanto ao cenário de direcionamento e bloqueio de tráfego com base em políticas de IPS. Com a terminação SSL no SSL Orchestrator, os sensores FTD proporcionam visibilidade do tráfego de entrada e de saída para adaptar e proteger os aplicativos, servidores e outros recursos de uma organização. Ao usar o direcionamento de tráfego com base em políticas de segurança, uma organização pode aproveitar essa configuração e continuar expandindo sua capacidade, adicionando mais dispositivos gerenciados pelo FTD para oferecer maior capacidade de tráfego às redes e aos aplicativos protegidos. A flexibilidade baseada em políticas oferecida pelo SSL Orchestrator também pode ser aproveitada para direcionar seletivamente o tráfego a diferentes pools de recursos, de acordo com requisitos comerciais, de segurança ou de conformidade.
PUBLICADO EM 09 DE OUTUBRO DE 2020