¿Qué es el Firewall WAN de Cato?

El Firewall WAN en la Nube de Cato controla el acceso a objetos y entidades en su Red de Área Amplia (WAN). Configure la base de reglas del Firewall WAN para crear una política de control de acceso segura y proteger la red.

El Firewall WAN forma parte del Firewall de Nueva Generación (NGFW) que está integrado en la Nube de Cato y le permite crear reglas para prevenir el acceso no autorizado a la red. El Firewall WAN utiliza un enfoque de lista blanca, y hay una regla de bloqueo por defecto ANY-ANY para eliminar todas las conexiones que no están explícitamente permitidas en la base de reglas.

Use las reglas para configurar el firewall con el fin de inspeccionar todas las conexiones y solo permitir aquellas que coincidan con sus configuraciones. El firewall utiliza una base de reglas ordenada. Esto significa que comienza inspeccionando la conexión y verifica si coincide con la primera regla. Si no, continúa aplicando secuencialmente cada regla a la conexión hasta que una regla coincida con la conexión.

El Firewall WAN también incluye funcionalidad completa de capa 7 con Conciencia de Usuario, permitiendo políticas de acceso cero trust a aplicaciones específicas en la WAN.

Comprendiendo Información Autónoma del Firewall

Los Insights Autónomos del Firewall WAN son una lista de Comprobaciones de Postura que evalúan su política de Firewall WAN y muestran cómo cumplen con las recomendaciones de Cato. Seguir estas recomendaciones optimiza las configuraciones de su firewall y mejora la postura de seguridad.

Hay dos tipos de insights:

• Ícono de estrella (potenciado por la IA): Las reglas activadas en su política de Firewall WAN son analizadas automáticamente por Inteligencia Artificial (IA) para detectar problemas, por ejemplo, reglas que pueden ser descartadas o modificadas como:

  • Regla Temporal: Introducida como una solución a corto plazo para abordar una necesidad inmediata. Estas reglas son mayormente creadas para funcionar temporalmente mientras se despliega o desarrolla una solución adecuada o permanente.
  • Regla de Prueba: Reglas creadas explícitamente para validar, depurar o experimentar con una característica o escenario específico.
  • Regla Expirada o Regla con Fecha de Expiración Futura: Reglas creadas para abordar una necesidad específica y tienen una fecha límite deseable que ya ha pasado o que aún no se ha alcanzado o no puede ser probada/evaluada.

  • Reglas Demasiado Permisivas: Reglas que pueden ser exageradamente permisivas basadas en usuarios, hosts, aplicaciones o protocolos definidos para la regla. Este insight utiliza heurísticas topológicas indica que recomendamos que elimine los elementos adicionales de la regla para adherirse mejor a su estrategia de cero trust.

    Por ejemplo: restringir el acceso de usuario solo a sampleAdmin, condicionado por un perfil específico de Postura del Dispositivo, limitar la aplicación solo a RDP, y restringir el protocolo solo a TCP.

  • Regla No Utilizada: Identifica las reglas de firewall con una acción de Permitir que no han generado ningún evento en los últimos 60 días.
• Basado en Configuración: Las configuraciones y ajustes en su política de Firewall de Internet aseguran que sigan las mejores prácticas.

Trabajando con el Asistente de Configuración de Firewall WAN

El Asistente de Configuración de Firewall WAN revisa autónomamente su política utilizando estos chequeos e insights. Cuando una revisión falla, puede revisar y actualizar su política directamente en el Asistente sin editar reglas individuales. Esto le ayuda a mantenerse seguro mientras simplifica la gestión de políticas. Para más información consulte Usando el Asistente de Configuración.

Protecciones Anti-Spoofing en el Firewall de Cato

Una de las funcionalidades básicas de un NGFW es proteger contra ataques de suplantación. Los motores de seguridad en la Cato Cloud descartan implícitamente cualquier conexión donde la IP de origen esté fuera del alcance de la entidad configurada (como sitio, rango de red, dispositivo o usuario). Esto bloquea ataques de suplantación y previene violaciones de la topología lógica configurada.

El firewall WAN inspecciona las conexiones secuencialmente y verifica si la conexión coincide con una regla. La regla final en la base de reglas es una regla predeterminada de bloqueo ANY-ANY - por lo que si una conexión no coincide con una regla, entonces es bloqueada por la regla predeterminada final. Una política de control de acceso sólida contiene reglas de firewall que permiten conexiones y tráfico específicos en la WAN.

Puede revisar la configuración de las reglas predeterminadas en la sección Reglas Predeterminadas al final de la base de reglas. Estas configuraciones de reglas no pueden ser editadas.

Las reglas que están en la parte superior de la base de reglas tienen una mayor prioridad porque se aplican a las conexiones antes que las reglas más abajo en la base de reglas. Por ejemplo, si una conexión coincide con la regla #3, la acción se aplica a la conexión, y el firewall deja de inspeccionarla. El firewall no continúa aplicando las reglas #4 y siguientes a la conexión. Puede aumentar la eficiencia del firewall WAN y dar una alta prioridad a las reglas que coincidan con el mayor número de conexiones.

Cuando hay una regla con objetos en múltiples columnas, como una aplicación y un servicio, entonces hay una relación AND entre ellos. Por ejemplo, si hay una regla que permite la aplicación de Servicios de Respaldo para el puerto 443, entonces el tráfico está permitido cuando coincide tanto con la aplicación como con el puerto.

Para reglas que usan múltiples objetos en una sola columna, como más de un puerto, hay una relación OR entre ellos. Por ejemplo, si hay una regla que permite acceso al servidor de correo para el servicio SMTP y los puertos 25, 265, 587, y 2525, entonces el tráfico está permitido cuando coincide con el servicio SMTP o cualquiera de los puertos.