Cato WANファイアウォールとは何ですか？

Catoクラウド内のWANファイアウォールは、あなたの広域ネットワーク（WAN）内のオブジェクトやエンティティへのアクセスを制御します。 WANファイアウォールのルールベースを設定して、安全なアクセス制御ポリシーを作成し、ネットワークを保護します。

WANファイアウォールは、Catoクラウドに統合された次世代ファイアウォール（NGFW）の一部であり、ネットワークへの不正アクセスを防ぐためのルールを作成できます。 WANファイアウォールはホワイトリスト方式を使用し、ルールベースで明示的に許可されていないすべての接続をドロップするデフォルトのANY-ANYブロックルールがあります。

ルールを使用してファイアウォールを設定し、すべての接続を検査して、設定済みの設定に一致するものだけを許可します。 ファイアウォールは、順序付けられたルールベースを使用します。 これは、接続を検査し、最初のルールと一致するかどうかを確認することから始まります。 一致しない場合、接続がルールに一致するまで、各ルールを順番に適用し続けます。

WANファイアウォールには、ユーザー認識を備えたフルレイヤー7機能が含まれており、WAN上の特定のアプリケーションへのゼロトラストアクセスポリシーを許可します。

自律型ファイアウォールインサイトの理解

WAN自律ファイアウォールインサイトは、ポスチャーチェックのリストであり、WANファイアウォールポリシーを評価し、Catoの推奨事項にどのように準拠しているかを示します。 これらの推奨事項に従うことで、ファイアウォールの設定を最適化し、セキュリティポスチャーを改善します。

インサイトには2種類があります。

• 星アイコン（AIによる自動化）：WANファイアウォールポリシーで有効なルールがAIによって自動的に分析され、例えば、破棄や変更が可能なルールのような問題を検出します。

  • 一時的なルール： 短期的な解決策として、即時のニーズに対処するために導入されました。 これらのルールは、適切または永続的なソリューションが導入または開発されている間に一時的に機能するために作成されることがほとんどです。
  • テストルール： 特定の機能やシナリオを検証、デバッグまたは実験するために明示的に作成されたルール。
  • 期限切れのルールまたは将来の有効期限を持つルール： 特定のニーズに対処するために作成されたルールで、既に経過したまたはまだ到達していない望ましい終了日を持つ。

  • 許可が多すぎるルール： ルールに定義されたユーザー、ホスト、アプリ、プロトコルに基づいて、過剰に許可されている可能性があるルール。 このインサイトは、トポロジーのヒューリスティクスを使用して、ゼロトラスト戦略によりよく従うためにルールから余分な項目を削除することをお勧めします。

    例えば、ユーザーアクセスを特定のゼロトラストサンプル管理者で条件付け、デバイスポスチャプロフィールにより制限し、アプリケーションをRDPのみに制限し、プロトコルをTCPのみに制限する。

  • 未使用のルール： 過去60日間にイベントを生成していない許可アクションを持つファイアウォールルールを特定します。
• 設定ベース： インターネットファイアウォールポリシー内の設定と設定は、ベストプラクティスに従うことを保証します。

WANファイアウォール構成ウィザードの利用

WANファイアウォール構成ウィザードは、これらのチェックとインサイトを使用してポリシーを自律的にレビューします。 チェックが失敗した場合、ウィザードで個々のルールを編集せずにポリシーを直接レビューし、更新できます。 これにより、ポリシー管理を簡素化しながらセキュリティを維持するのに役立ちます。 詳細については、構成ウィザードの使用をご覧ください。

Catoファイアウォールでのアンチスプーフィング保護

NGFWの基本的な機能の一つは、アンチスプーフィング攻撃を防ぐことです。 Cato Cloud のセキュリティエンジンは、構成されたエンティティの範囲外にある場合、暗黙的に接続を拒否します（サイト、ネットワーク範囲、デバイス、ユーザーなど）。 これにより、アンチスプーフィング攻撃をブロックし、設定された論理トポロジーの違反を防ぎます。

WANファイアウォールは接続を順次検査し、接続がルールに一致しているかどうかを確認します。 ルールベースの最後のルールは、デフォルトのANY-ANYブロックルールです。接続がルールに一致しない場合、デフォルトの最終ルールによってブロックされます。 強力なアクセス制御ポリシーには、WAN内の特定の接続とトラフィックを許可するファイアウォールルールが含まれています。

ルールベースの最後のデフォルトルールセクションでデフォルトルール設定を確認できます。 これらのルール設定は編集できません。

ルールベースの上部にあるルールは、ルールベースの下部にあるルールよりも優先順位が高いため、接続に先に適用されます。 例えば、接続がルール3に一致する場合、アクションが接続に適用され、ファイアウォールはそれ以上検査を行いません。 ファイアウォールは接続に対してルール4以降を適用し続けません。 WANファイアウォールの効率を向上させ、多くの接続に一致するルールに優先順位を付けることができます。

アプリケーションとサービスなど、複数の列にオブジェクトがあるルールがある場合、それらの間にはAND関係があります。 例えば、ポート443に対するバックアップサービスアプリケーションを許可するルールがある場合、トラフィックはアプリケーションとポートの両方に一致したときに許可されます。

単一の列内で複数のオブジェクトを使用するルールの場合、例えば複数のポートの場合、それらの間にはOR関係があります。 例えば、SMTPサービスとポート25、265、587、および2525のメールサーバーへのアクセスを許可するルールがある場合、トラフィックはSMTPサービスまたはポートのいずれかに一致したときに許可されます。